(57)【特許請求の範囲】
【請求項１】
制御部を有する情報処理装置に入力された入力情報を処理する情報処理方法において、
前記制御部により、危険性の増減情報を取得し、
前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、
前記制御部により入力情報に基づく値が前記第１閾範囲を越えるか否か判断し、
前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、
前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する
情報処理方法。
【請求項２】
第１閾範囲または第２閾範囲を補正する場合、
取得した増減情報により危険性が増加する場合に、前記制御部により前記第１閾範囲または第２閾範囲を小さく補正し、
取得した増減情報により危険性が減少する場合に、前記制御部により前記第１閾範囲または第２閾範囲を大きく補正する
請求項１に記載の情報処理方法。
【請求項３】
前記入力情報に基づく値は、
前記情報処理装置に対し入力された命令数または前記情報処理装置に対し入力された命令に基づき処理したデータ量を含み、
第１閾範囲を越えるか否かを判断する場合、
前記制御部により、命令数またはデータ量が記憶部に記憶した第１閾範囲を越えるか否かを判断する
請求項１または２に記載の情報処理方法。
【請求項４】
異常情報の出力回数、及び、異常に対応したことを示す対応情報を記憶部に記憶し、
前記記憶部により異常情報の出力回数が第１閾値を越えるか否か判断し、
第１閾値を越えると判断した場合に、前記制御部により前記記憶部に対応情報が記憶されているか判断し、
前記制御部により、前記対応情報が記憶されていないと判断した場合に、前記第１閾範囲または第２閾範囲を大きく補正し、
前記制御部により、前記対応情報が記憶されていると判断した場合に、前記第１閾範囲または第２閾範囲の値を維持する
請求項１乃至３のいずれか一つに記載の情報処理方法。
【請求項５】
制御部を有するコンピュータに入力された入力情報を処理するプログラムにおいて、
コンピュータに、
前記制御部により、危険性の増減情報を取得し、
前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、
前記制御部により入力情報に基づく値が前記第１閾範囲を越えるか否か判断し、
前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、
前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する
処理を実行させるプログラム。
【請求項６】
入力された入力情報を処理する情報処理装置において、
入力情報に基づく値が記憶部に記憶した第１閾範囲を越えるか否か判断する第１判断部と、
第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が記憶部に記憶した第２閾範囲を越えるか否か判断する第２判断部と、
危険性の増減情報を取得する取得部と、
該取得部により取得した危険性の増減情報に基づき、第１閾範囲または第２閾範囲を補正する補正部と、
前記第２判断部により第２閾範囲を越えると判断した場合に、異常情報を出力する出力部と
を備える情報処理装置。
【請求項７】
通信網を介して端末装置と中央装置とが接続された情報処理システムにおいて、
前記中央装置は、
前記端末装置から送信された入力情報に基づく値が記憶部に記憶した第１閾範囲を越えるか否か判断する第１判断部と、
第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が記憶部に記憶した第２閾範囲を越えるか否か判断する第２判断部と、
危険性の増減情報を取得する取得部と、
該取得部により取得した危険性の増減情報に基づき、第１閾範囲または第２閾範囲を補正する補正部と、
前記第２判断部により第２閾範囲を越えると判断した場合に、異常情報を出力する出力部と
を備える情報処理システム。
【請求項８】
情報処理装置が、
危険性の増減情報を取得し、
前記情報処理装置に対して入力された入力情報に基づく値が、取得した前記増減情報に基づいて決定される第１閾範囲を越えるか否か判定し、
前記第１閾範囲を越えると判定した場合に、越えると判断した回数または越えた時間が、取得した前記増減情報に基づいて決定される第２閾範囲を越えるか否か判定し、
前記第２閾範囲を越えると判定した場合に、異常情報を表示手段に出力する
ことを実行することを特徴とする情報処理方法。
【請求項９】
第１閾範囲または第２閾範囲を補正する場合、
取得した増減情報により危険性が増加する場合に、前記第１閾範囲または第２閾範囲を小さく補正し、
取得した増減情報により危険性が減少する場合に、前記第１閾範囲または第２閾範囲を大きく補正する
請求項８に記載の情報処理方法。
【請求項１０】
前記入力情報に基づく値は、
前記情報処理装置に対し入力された命令数または前記情報処理装置に対し入力された命令に基づき処理したデータ量を含み、
第１閾範囲を越えるか否かを判断する場合、
命令数またはデータ量が記憶部に記憶した第１閾範囲を越えるか否かを判断する
請求項８または９に記載の情報処理方法。
【請求項１１】
情報処理装置に、
危険性の増減情報を取得し、
前記情報処理装置に対して入力された入力情報に基づく値が、取得した前記増減情報に基づいて決定される第１閾範囲を越えるか否か判定し、
前記第１閾範囲を越えると判定した場合に、越えると判断した回数または越えた時間が、取得した前記増減情報に基づいて決定される第２閾範囲を越えるか否か判定し、
前記第２閾範囲を越えると判定した場合に、異常情報を表示手段に出力する
ことを実行させることを特徴とするプログラム。
【請求項１２】
危険性の増減情報を取得する取得部と、
情報処理装置に対して入力された入力情報に基づく値が、取得した前記増減情報に基づいて決定される第１閾範囲を越えるか否か判定する第１判定部と、
前記第１閾範囲を越えると判定した場合に、越えると判断した回数または越えた時間が、取得した前記増減情報に基づいて決定される第２閾範囲を越えるか否か判定する第２判定部と、
前記第２閾範囲を越えると判定した場合に、異常情報を表示手段に出力する出力部と
を備えることを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御部を有する情報処理装置に入力された入力情報を処理する情報処理方法、プログラム、情報処理装置、及び、情報処理システムに関する。
【背景技術】
【０００２】
行動パターンと予めデータベースに登録したパターンとを比較し、異常を検出する方法が開示されている（例えば、特許文献１乃至３参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０００−３０６１７７号公報
【特許文献２】特開２００５−９６６７４号公報
【特許文献３】特開２００６−３１７０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の技術では、単に予めデータベースに登録したパターンと行動パターンとを比較するに過ぎず、状況の変化に応じた異常の検出が出来ないという問題があった。
【０００５】
本発明は斯かる事情に鑑みてなされたものである。その目的は、危険性の増減に応じて適切に異常を検出することが可能な情報処理方法等を提供することにある。
【課題を解決するための手段】
【０００６】
本願に開示する情報処理方法は、制御部を有する情報処理装置に入力された入力情報を処理する情報処理方法において、前記制御部により、危険性の増減情報を取得し、前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、前記制御部により入力情報に基づく値が前記第１閾範囲を越えるか否か判断し、前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する。
【発明の効果】
【０００７】
本願の一観点によれば、状態の変化に応じて適切に異常を検出することが可能となる。
【図面の簡単な説明】
【０００８】
【図１】情報処理システムの概要を示す模式図である。
【図２】パーソナルコンピュータのハードウェア群を示すブロック図である。
【図３】指紋認証装置のハードウェア群を示すブロック図である。
【図４】管理コンピュータのハードウェア群を示すブロック図である。
【図５】サーバコンピュータのハードウェア群を示すブロック図である。
【図６】履歴ＤＢのレコードレイアウトを示す説明図である。
【図７】セキュリティポリシーテーブルのレコードレイアウトを示す説明図である。
【図８】分散テーブルのレコードレイアウトを示す説明図である。
【図９】範囲テーブルのレコードレイアウトを示す説明図である。
【図１０】第１閾範囲、第２閾範囲及びアプリ操作命令数の変化を示すグラフである。
【図１１】第１閾範囲、第２閾範囲及びアプリ操作命令累積数の変化を示すグラフである。
【図１２】異常情報を出力する際のイメージ図である。
【図１３】基準値算出処理の手順を示すフローチャートである。
【図１４】第１閾範囲及び第２閾範囲の決定処理手順を示すフローチャートである。
【図１５】第１閾範囲及び第２閾範囲の決定処理手順を示すフローチャートである。
【図１６】環境ファイルのレコードレイアウトを示す説明図である。
【図１７】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図１８】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図１９】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図２０】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図２１】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図２２】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図２３】異常判断処理の手順を示すフローチャートである。
【図２４】異常判断処理の手順を示すフローチャートである。
【図２５】アプリ操作命令数の変化率の時間的な変化を示すグラフである。
【図２６】実施の形態２に係る異常判断処理の手順を示すフローチャートである。
【図２７】実施の形態２に係る異常判断処理の手順を示すフローチャートである。
【図２８】実施の形態３のサーバコンピュータのハードウェア群を示すブロック図である。
【図２９】対応情報の入力イメージを示す説明図である。
【図３０】異常履歴ＤＢのレコードレイアウトを示す説明図である。
【図３１】対応情報の記憶処理手順を示すフローチャートである。
【図３２】対応情報の記憶処理手順を示すフローチャートである。
【図３３】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図３４】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図３５】第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。
【図３６】第１閾範囲ファイルのレコードレイアウトを示す説明図である。
【図３７】第２閾範囲ファイルのレコードレイアウトを示す説明図である。
【図３８】変更量の算出処理手順を示すフローチャートである。
【図３９】変更量の算出処理手順を示すフローチャートである。
【図４０】変更量の算出処理手順を示すフローチャートである。
【図４１】変更量の算出処理手順を示すフローチャートである。
【図４２】第２閾範囲の調整処理の手順を示すフローチャートである。
【図４３】実施の形態６に係る情報処理システムの概要を示す模式図である。
【図４４】上述した形態のサーバコンピュータまたはパーソナルコンピュータの動作を示す機能ブロック図である。
【図４５】実施の形態７に係るサーバコンピュータのハードウェア群を示すブロック図である。
【発明を実施するための形態】
【０００９】
実施の形態１
以下実施の形態を、図面を参照して説明する。図１は情報処理システムの概要を示す模式図である。情報処理システムは中央装置（情報処理装置）１、端末装置２Ａ〜２Ｄ（以下、場合により２で代表する）、管理装置３及び通知装置４等を含む。中央装置１は例えばサーバコンピュータまたはパーソナルコンピュータ等である。以下では中央装置１が一例として、サーバコンピュータ１であるものとして説明する。端末装置２Ａ〜２Ｃは例えばパーソナルコンピュータ、ＰＤＡ（Personal Digital Assistance）、携帯電話機またはブックリーダ等である。本実施形態では端末装置２Ａ〜２Ｃは一例としてパーソナルコンピュータであるものとする。以下では端末装置２Ａ〜２Ｃをパーソナルコンピュータ２という。
【００１０】
端末装置２Ｄは端末装置２Ａ〜２Ｃが設置された部屋またはビル等の施設入口に設けられる入退室管理装置である。端末装置２ＤはＩＣ（integrated circuit）カード、磁気カード等を通じた認証、または、指紋、声紋、手の平の静脈等の生体情報を用いた認証を行う。認証に成功した場合、端末装置２Ｄはロックを解除し施設内への入室を許可する。端末装置２Ｄの一例として指紋認証装置を用いた例を挙げて説明する。以下では端末装置２Ｄを指紋認証装置２Ｄという。
【００１１】
管理装置３は例えばパーソナルコンピュータ、ＰＤＡ（Personal Digital Assistance）、携帯電話機、サーバコンピュータまたはブックリーダ等である。本実施形態では管理装置３は一例としてパーソナルコンピュータであるものとする。以下では管理装置３を管理コンピュータ３という。通知装置４は例えば、コンピュータウィルス（以下、ウィルスという）の情報、ウィルスに対するワクチンの情報等を提供する企業のサーバコンピュータである。また通知装置４は、ＯＳ（operating system）またはブラウザの脆弱性に関する情報を提供する企業、または、脆弱性を克服するためのパッチを提供する企業のサーバコンピュータ等である。その他、通知装置４は各パーソナルコンピュータ２内のソフトウェアのインストール状況、デジタル証明書の有無、通信の暗号化状態、ハードウェアの実装状況に基づき、安全性に関する情報を提供する認証サーバコンピュータであっても良い。以下では、通信装置４をウィルス及びワクチンに関する情報を提供するセキュリティサーバ４として説明する。
【００１２】
サーバコンピュータ１、管理コンピュータ３、パーソナルコンピュータ２、指紋認証装置２Ｄ及びセキュリティサーバ４はインターネット、ＬＡＮ（Local Area Network）または携帯電話網等の通信網Ｎを介して相互に接続されている。サーバコンピュータ１、管理コンピュータ３、パーソナルコンピュータ２、指紋認証装置２Ｄ及びセキュリティサーバ４はＨＴＴＰ（HyperText Transfer Protocol）等により情報を送受信する。
【００１３】
サーバコンピュータ１はパーソナルコンピュータ２及び指紋認証装置２Ｄから送信される入力情報に基づく値を監視する。サーバコンピュータ１は入力情報に基づく値が第１閾範囲を越えるか否か判断する。サーバコンピュータ１は越えると判断した回数または時間が第２閾範囲を越える場合に、異常情報を管理コンピュータ３へ出力する。オペレータは、これにより、パーソナルコンピュータ２または指紋認証装置２Ｄを通じたユーザの異常行動を知ることが可能となる。
【００１４】
セキュリティサーバ４はウィルスが発生したことを示す情報またはワクチンが生成されたことを示す情報をサーバコンピュータ１へ送信する。サーバコンピュータ１はセキュリティサーバ４から、ウィルスが発生したことを示す情報またはワクチンが生成されたことを示す情報を受信することで、危険性の増減情報を取得する。サーバコンピュータ１は、ウィルスが発生したことを示す危険性の増加情報に基づき、危険性が増加すると判断した場合、第１閾範囲または第２閾範囲を小さく補正する。なお、第１閾範囲及び第２閾範囲の双方を小さくしても良い。本実施形態では双方を小さくする例を挙げて説明する。
【００１５】
一方、サーバコンピュータ１は、セキュリティサーバ４がワクチンが生成されたことを示す情報を受信した場合、危険性が減少したと判断し、第１閾範囲または第２閾範囲を大きく補正する。なお、第１閾範囲及び第２閾範囲の双方を大きくしても良い。本実施形態では双方を大きくする例を挙げて説明する。サーバコンピュータ１は補正後の第１閾範囲及び第２閾範囲を用いて、入力情報に基づく値から異常の有無を検出する。以下詳細を説明する。
【００１６】
図２はパーソナルコンピュータ２のハードウェア群を示すブロック図である。パーソナルコンピュータ２は制御部としてのＣＰＵ(Central Processing Unit)２１、ＲＡＭ（Random Access Memory）２２、入力部２３、表示部２４、記憶部２５、及び通信部２６等を含む。ＣＰＵ２１は、バス２７を介してハードウェア各部と接続されている。ＣＰＵ２１は記憶部２５に記憶された制御プログラム２５Ｐに従いハードウェア各部を制御する。ＲＡＭ２２は例えばＳＲＡＭ（Static ＲＡＭ）、ＤＲＡＭ（Dynamic ＲＡＭ）、フラッシュメモリ等である。ＲＡＭ２２は、記憶部としても機能し、ＣＰＵ２１による各種プログラムの実行時に発生する種々のデータを一時的に記憶する。
【００１７】
入力部２３はマウス、キーボード、またはタッチパネル等の入力デバイスであり、受け付けた操作情報をＣＰＵ２１へ出力する。表示部２４は液晶ディスプレイまたは有機ＥＬ（electroluminescence）ディスプレイ等であり、ＣＰＵ２１の指示に従い各種情報を表示する。ＲＡＭ２２は例えばＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等である。通信部２６は有線または無線ＬＡＮカード等であり、通信網Ｎを介してサーバコンピュータ１等との間で情報の送受信を行う。記憶部２５は例えば、ハードディスクまたは大容量フラッシュメモリ等であり、制御プログラム２５Ｐを格納する。
【００１８】
図３は指紋認証装置２Ｄのハードウェア群を示すブロック図である。指紋認証装置２Ｄは制御部２０１、記憶部２０５、指紋入力部２０３、表示部２０４、通信部２０６及びロック部２０８等を含む。制御部２０１は例えばマイクロプロセッサであり、記憶部２０５に記憶した制御プログラム２０５Ｐに従い各ハードウェアを制御する。記憶部２０５は例えば、ＳＲＡＭ、ＤＲＡＭ、フラッシュメモリまたはハードディスク等である。記憶部２０５には、各ユーザの指紋データ及びユーザの識別情報（以下、ユーザＩＤという）を記憶した指紋データファイル２０５１が記憶されている。なお、指紋データファイル２０５１は通信部２０６を介して接続される他のコンピュータに保存しておいても良い。
【００１９】
制御プログラム２０５Ｐは指紋認証を行うためのプログラム等である。指紋入力部２０３は指紋を読み取り、読み取った指紋データを制御部２０１へ出力する。制御部２０１は制御プログラム２０５Ｐに従い入力された指紋データが、指紋データファイル２０５１に記憶された指紋データと一致するか否かを判断する。表示部２０４は例えば有機ＥＬディスプレイ、液晶ディスプレイ、またはＬＥＤ（Light-Emitting Diode）等の発光素子であり、制御部２０１の指示に従い各種情報を表示する。制御部２０１は認証に成功した場合、ロック部２０８へロック解除信号を出力する。ロック部２０８は図示しないドアのロック及びロック解除を行う。
【００２０】
ロック部２０８は通常ドアをロックしており、制御部２０１からロック解除信号を受け付けた場合に、ロックを一定時間解除する。ロック部２０８は一定時間経過後、または、ドアが閉じられた際に、ドアをロックする。認証に成功した場合、制御部２０１は指紋データに対応するユーザＩＤを指紋データファイル２０５１から読み出す。制御部２０１は通信部２０６を介して認証を行ったユーザのユーザＩＤ及び認証成功情報を含む認証成功情報記憶命令をサーバコンピュータ１へ送信する。制御部２０１は認証に失敗した場合、認証失敗情報記憶命令を、通信部２０６を介してサーバコンピュータ１へ送信する。
【００２１】
図４は管理コンピュータ３のハードウェア群を示すブロック図である。管理コンピュータ３は制御部としてのＣＰＵ３１、ＲＡＭ３２、入力部３３、表示部３４、記憶部３５、通信部３６、及び、時計部３８等を含む。ＣＰＵ３１は、バス３７を介してハードウェア各部と接続されている。ＣＰＵ３１は記憶部３５に記憶した制御プログラム３５Ｐに従いハードウェア各部を制御する。
【００２２】
入力部３３はマウス、キーボード、またはタッチパネル等の入力デバイスであり、受け付けた操作情報をＣＰＵ３１へ出力する。表示部３４は液晶ディスプレイまたは有機ＥＬディスプレイ等であり、ＣＰＵ３１の指示に従い各種情報を表示する。ＲＡＭ３２は例えばＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等である。ＲＡＭ３２は、ＣＰＵ３１による各種プログラムの実行時に発生する種々のデータを一時的に記憶する。通信部３６は有線または無線ＬＡＮカード等であり、通信網Ｎを介してサーバコンピュータ１等との間で情報の送受信を行う。時計部３８は日時をＣＰＵ３１へ出力する。記憶部３５は例えば、ハードディスクまたは大容量フラッシュメモリ等である。記憶部３５内には、パーソナルコンピュータ２を使用するユーザの人事に関する情報を記憶した人事ファイル３５１が記憶されている。また記憶部３５内には、パーソナルコンピュータ２、サーバコンピュータ１または指紋認証装置２Ｄのハードウェア及びソフトウェアの状態を示す環境情報を記憶した環境ファイル３５２が記憶されている。なお、人事ファイル３５１及び環境ファイル３５２の詳細は後述する。
【００２３】
図５はサーバコンピュータ１のハードウェア群を示すブロック図である。サーバコンピュータ１は制御部としてＣＰＵ１１、ＲＡＭ１２、入力部１３、表示部１４、記憶部１５、時計部１８及び通信部１６等を含む。ＣＰＵ１１は、バス１７を介してハードウェア各部と接続されている。ＣＰＵ１１は各ハードウェアを制御すると共に、記憶部１５に格納されたアプリケーションプログラム１５Ａ及び制御プログラム１５Ｐに従って、ソフトウェア機能を実行する。
【００２４】
通信部１６はファイアウォールとしての機能を果たすゲートウェイ等であり、パーソナルコンピュータ２、管理コンピュータ３、指紋認証装置２Ｄ及びセキュリティサーバ４等との間でＨＴＴＰ等により情報を送受信する。入力部１３はマウス及びキーボード、または、タッチパネル等の入力デバイスである。入力部１３は、受け付けた操作情報をＣＰＵ１１へ出力する。表示部１４は液晶ディスプレイまたは有機ＥＬ（electroluminescence）ディスプレイ等であり、ＣＰＵ１１の指示に従い各種情報を表示する。時計部１８は時間情報をＣＰＵ１１へ出力する。ＲＡＭ１２は例えばＳＲＡＭ、ＤＲＡＭ、フラッシュメモリ等である。ＲＡＭ１２は、記憶部としても機能し、ＣＰＵ１１による各種プログラムの実行時に発生する種々のデータを一時的に記憶する。
【００２５】
記憶部１５は例えばハードディスクまたは大容量メモリ等である。記憶部１５には上述した制御プログラム１５Ｐ及びアプリケーションプログラム１５Ａが記憶されている。記憶部１５にはさらに履歴データベース（以下、ＤＢという）１５３、第１閾範囲ファイル１５１、第２閾範囲ファイル１５２、セキュリティポリシーテーブル１５４、分散テーブル１５５及び範囲テーブル１５６等が記憶されている。アプリケーションプログラム１５Ａは、例えば、ＣＡＤ（Computer Aided Design）プログラム、文書作成用プログラム、表計算プログラム、メーラ、スケジューラ、画像編集プログラム等のプログラムである。サーバコンピュータ１のＣＰＵ１１は通信部１６を介してパーソナルコンピュータ２から入力情報を受け付ける。
【００２６】
ＣＰＵ１１は入力情報に従い、アプリケーションプログラム１５Ａを実行し、実行結果をパーソナルコンピュータ２へ送信する。ＣＰＵ１１はパーソナルコンピュータ２から送信された入力情報を履歴ＤＢ１５３に記憶する。
【００２７】
図６は履歴ＤＢ１５３のレコードレイアウトを示す説明図である。履歴ＤＢ１５３はユーザＩＤ別に日時に対応付けて入力情報を記憶している。履歴ＤＢ１５３は日時フィールド及び入力情報フィールドを含む。日時フィールドには、パーソナルコンピュータ２から入力情報が送信され、通信部１６を介してサーバコンピュータ１へ入力情報が入力された際の日時を記憶している。ＣＰＵ１１は入力情報が入力された場合、時計部１８から出力される日時を参照し、日時フィールドに記憶する。なお、日時は入力情報のデータパケットに付随する日時の情報を参照して記憶しても良い。
【００２８】
入力情報フィールドには、入力された命令、命令に基づき処理したデータ量及び添付ファイル数が記憶される。例えば、命令フィールドには、日時に対応付けてパーソナルコンピュータ２または指紋認証装置２Ｄから送信された命令が記憶されている。指紋認証装置２Ｄは指紋認証に成功した場合、認証成功情報及びユーザＩＤを含む認証成功情報記憶命令をサーバコンピュータ１へ送信する。サーバコンピュータ１のＣＰＵ１１は認証成功情報記憶命令を受信した場合、ユーザＩＤ及び日時に対応付けて当該命令を記憶する。なお、指紋認証装置２Ｄから認証失敗情報記憶命令が送信された場合、ＣＰＵ１１は履歴ＤＢ１５３に日時に対応付けて認証成功情報記憶命令を記憶する。
【００２９】
パーソナルコンピュータ２を利用するユーザは入力部２３からＩＤ及びパスワードを入力し、ログインする。ＣＰＵ２１はＩＤ及びパスワードと共にログイン要求をサーバコンピュータ１へ送信する。ー１１はログイン要求を受け付けた場合、ユーザＩＤ及び日時に対応付けてログイン要求を入力情報として記憶する。なお、図６では説明を容易にするためにユーザＩＤ「００１」のユーザの履歴のみを表示している。
【００３０】
その他、入力された命令として、メーラの起動要求、メールの送信、メールの受信、アプリケーションプログラム１５Ａ（以下、アプリ１５Ａという）の起動等がある。アプリ操作としては、動画アプリにおける動画の再生命令、ファイル管理アプリを用いて、記憶部１５に記憶したファイルを削除・コピー・貼り付けする際の命令である。その他、ＣＡＤアプリにおいてデータを編集入力する際の操作命令、文書作成アプリにおいてファイルを保存する際の保存命令等である。以下、説明を容易にするために各種アプリ１５Ａに対する操作命令を包括してアプリ操作命令という。
【００３１】
処理データ量は、例えばメーラにより送受信する際のデータ量、記憶部１５に記憶したデータをパーソナルコンピュータ２へダウンロードする際のデータ量等である。添付ファイル数は例えばメーラにより送受信する際の添付ファイル数である。図６の例では、１０月２１日１０時１０分２０秒に、メール送信命令に従い、合計１．５ＭＢの添付ファイル３つが送信されたことが記憶されている。なお、本実施形態においては説明を容易にするために、年の記載を省略している。
【００３２】
ＣＰＵ１１は単位時間毎に入力情報に基づく値をユーザＩＤ別に計数する。この入力情報に基づく値はサーバコンピュータ１に入力された命令数、命令に基づき処理したデータ量または命令に基づき送受信した添付ファイル数である。命令数は例えば、認証成功情報記憶命令数、認証失敗情報記憶命令数、ログイン要求数、メーラ起動要求数、メール送受信数、アプリ操作命令数等である。単位時間は例えば１０分、１時間、１日等である。本実施形態では単位時間を１時間であるものとして説明するがこれに限るものではない。
【００３３】
ＣＰＵ１１は１時間の間に、計数したログイン要求数が異常に多い場合、不正の予兆であると判断する。またアプリ操作命令数が異常に多い場合または異常に少ない場合も、不正の予兆であると判断する。ＣＰＵ１１は単位時間当たりのデータ量の合計値を算出する。ＣＰＵ１１は単位時間当たりのデータ量の合計値が異常に多い場合、不正の予兆であると判断する。またＣＰＵ１１は単位時間当たりの添付ファイル数を計数する。ＣＰＵ１１は単位時間当たりの添付ファイル数が異常に多い場合も不正の予兆であると判断する。以下では、説明を容易にするために、ＣＰＵ１１は単位時間当たりのアプリ操作命令数を入力情報に基づく値の一例であるものとして説明する。
【００３４】
図７はセキュリティポリシーテーブル１５４のレコードレイアウトを示す説明図である。セキュリティポリシーテーブル１５４には、過去の事件状況、対象の機密性、及び対象の強度等に応じて変化する点数が記憶されている。過去の事件状況（図７中ａ）の種類としては、例えば、サーバコンピュータ１に関し、重大な事件が発生（図７中ａ３）、軽微な事件が発生（図７中ａ２）、事件未発生（図７中ａ１）という３つに分類される。重大な事件が発生した場合、最も高い点数が付与される。軽微な事件が発生した場合、最も高い点数に対し次に高い点数が付与される。事件が未発生の場合、最も低い点数が付与される。
【００３５】
対象の機密性（図７中ｂ）の種類としては、例えば、サーバコンピュータ１に関し、関係社外の秘密情報を取り扱う（図７中ｂ３）、社外秘の情報を取り扱う（図７中ｂ２）、機密性なし（図７中ｂ１）という３つに分類される。関係社外の秘密情報を取り扱う場合、最も高い点数が付与される。社外秘の情報を取り扱う場合、次いで高い点数が付与される。機密性が必要とされない場合、最も低い点数が付与される。
【００３６】
対策の強度（図７中ｃ）の種類としては、例えば、サーバコンピュータ１に関し、何ら対策を施していない（図７中ｃ３）、ルールを設けている（図７中ｃ２）、情報処理技術により制限をかけている（図７中ｃ１）という３つに分類される。ルールを設けているとは例えば、パーソナルコンピュータ２は許可を受けた正社員しか操作できない等である。情報処理技術により制限をかけているとは、例えばパーソナルコンピュータ２のログインの際に生体認証を要求する、パーソナルコンピュータ２とサーバコンピュータ１との間で送受信されるデータを暗号化している等である。
【００３７】
何ら対策を施していない場合、最も高い点数が付与される。ルールを設けている場合次いで高い点数が付与される。情報処理技術により制限をかけている場合、最も低い点数が付与される。図７の例ではａ３、ｂ３、ｃ３を点数「３」、ａ２、ｂ２、ｃ２を点数「２」、ａ１、ｂ１、ｃ１を点数「１」としている。過去の事件状況、対象の機密性及び対象の強度の種類は、入力部１３から入力すればよい。その他、管理コンピュータ３の入力部３３からオペレータが入力し、通信部３６を介してサーバコンピュータ１へ送信しても良い。サーバコンピュータ１のＣＰＵ１１は過去の事件状況、対象の機密性及び対象の強度の種類を受け付けた場合、セキュリティポリシーテーブル１５４を参照し、点数を抽出する。
【００３８】
例えば、種類として、重大な事件が発生（図７中ａ３）、社外秘の情報を取り扱う（図７中ｂ２）及び情報処理技術により制限をかけている（図７中ｃ１）を受け付けた場合、点数は「６」となる。ＣＰＵ１１はこれらセキュリティポリシーに関する点数に基づき、第１閾範囲及び第２閾範囲を決定する。本実施形態では点数が高いほど第１閾範囲及び第２閾範囲を小さくする。なお、セキュリティポリシーに関する点数に基づき、第１閾範囲または第２閾範囲のいずれかのみ決定しても良い。また、本実施形態ではセキュリティポリシーテーブル１５４を用いて点数を抽出する例を挙げたがこれに限るものではない。例えばオペレータが入力部１３または管理コンピュータ３の入力部３３からセキュリティポリシーに応じて点数を手入力しても良い。
【００３９】
セキュリティポリシーを高く、安全性の面で厳密に運用する場合、高い点数を入力すればよい。セキュリティポリシーを低く、安全性の面でルーズに運用する場合、低い点数を入力すればよい。ＣＰＵ１１は入力部１３から入力された点数、または、管理コンピュータ３の入力部３３を通じて入力された点数を受け付け、記憶部１５に記憶する。
【００４０】
図８は分散テーブル１５５のレコードレイアウトを示す説明図である。分散テーブル１５５は分散に対応付けて点数を記憶している。分散フィールドには、単位時間当たりのアプリ操作命令数に係る分散の大小を記憶している。具体的には、分散フィールドには算出される分散の値の範囲に応じて、大、中、小と分類されている。分散の値が大きくばらつきが多い場合、大となる。一方、分散の値が小さくばらつきが小さい場合、小となる。なお、本実施形態では大、中、小の３つに分類したが、複数以上であればこの形態に限るものではない。また、本実施形態では一例として分散を用いる例を挙げたが、分散の平方根である標準偏差を用いても良い。点数フィールドには分散の大小に対応付けて点数が記憶されている。なお、分散テーブル１５５の記憶内容は、オペレータが入力部１３または管理コンピュータ３の入力部３３を通じて変更しても良い。
【００４１】
図９は範囲テーブル１５６のレコードレイアウトを示す説明図である。範囲テーブル１５６には点数に対応付けて第１閾範囲の上限の係数、第１閾範囲の下限の係数及び第２閾範囲の係数が記憶されている。点数フィールドには、第１閾範囲及び第２閾範囲を決定するための点数が記憶されている。第１閾範囲上限フィールドには、点数に対応付けて、係数が記憶されている。第１閾範囲上限フィールドには点数が増加するにつれて、つまり安全性の要求が高くなるにつれて範囲を小さくする係数が記憶されている。例えば、午後２時台における単位時間当たりのアプリ操作命令数の全ユーザの平均値を、「１０」とする。点数が「９」と高度の安全性が要求される場合、「１０」に係数「１．３」を乗じて第１閾範囲の上限は「１３」となる。一方、点数が「３」と高度の安全性が要求されていない場合、「１０」に係数「２．５」が乗じられ、第１閾範囲の上限は「２５」となる。
【００４２】
第１閾範囲下限フィールドには、点数に対応付けて第１閾範囲の下限の係数が記憶されている。第１閾範囲下限フィールドには点数が増加するにつれて、つまり安全性の要求が高くなるにつれて範囲を小さくする係数が記憶されている。ＣＰＵ１１はセキュリティポリシーテーブル１５４から読み出した点数と、分散テーブル１５５から読み出した点数とを加算する。そして合計した点数が「９」と高度の安全性が要求される場合、「１０」に係数「０．８」を乗じて第１閾範囲の下限は「８」となる。一方、点数が「３」と高度の安全性が要求されていない場合、「１０」に係数「０．２」が乗じられ、第１閾範囲の下限は「２」となる。これにより、高度の安全性が要求される点数「９」の場合、第１閾範囲は「８〜１３」と範囲が狭くなる。高度の安全性が要求されない点数「３」の場合、第１閾範囲は「２〜２５」と範囲が広くなる。ＣＰＵ１１は算出した第１閾範囲を第１閾範囲ファイル１５１に記憶する。
【００４３】
係数は、オペレータが入力部１３または管理コンピュータ３の入力部３３からセキュリティポリシーに応じて入力しても良い。ＣＰＵ１１は入力された係数を点数に対応付けて範囲テーブル１５６に記憶する。なお、本実施形態では、係数を乗じることとしたが、第１閾範囲上限を算出する際には加算しても良い。また第１閾範囲下限を算出する際には減算しても良い。また加算する値と減算する値はあくまで一例であり、加算値と減算値とを同じ値としても良い。
【００４４】
また、本実施形態では、係数を乗じる基準値として単位時間当たりのアプリ操作命令数の全ユーザの平均値を用いることとしたがこれに限るものではない。例えば一のユーザの複数日における単位時間当たりの平均値を用いても良い。また平均値以外に、一のユーザまたは複数のユーザの統計における最頻値または中央値を用いても良い。この他、オペレータが適宜設定した値であっても良い。本実施形態では一例として、複数のユーザの単位時間当たりのアプリ操作命令数の平均値を基準値であるものとして説明する。具体的にはＣＰＵ１１は履歴ＤＢ１５３を参照し、時間帯毎に各ユーザのアプリ操作命令数を読み出し、平均値を算出し、基準値とする。
【００４５】
第２閾範囲フィールドには点数に対応付けて係数が記憶されている。第２閾範囲の係数は点数が減少するにつれ、つまり安全性に対する要求レベルが低下するにつれ、増加する値が記憶されている。記憶部１５には基準時間が記憶されている。基準時間は例えば３時間である。点数が「９」と高度の安全性が要求される場合、３時間に係数「１．０」が乗じられ、第２閾範囲は３時間のままとなる。例えば、第１閾範囲の上限を越える時間が３時間を越えた場合、異常と判断される。一方、点数が「３」と高度の安全性が要求されていない場合、３時間に係数「１．４」が乗じられ、第２閾範囲は４．２時間となる。この場合、第１閾範囲の上限を越える時間が４．２時間を越えた場合、異常と判断される。ＣＰＵ１１は算出した第２閾範囲を第２閾範囲ファイル１５２に記憶する。なお、本実施形態においては基準時間に係数を乗じる例を挙げたが、係数を加算または減算しても良い。さらに、基準時間以外に基準回数を用いても良い。ＣＰＵ１１は第１閾範囲の上限を越えると判断した回数が基準回数に係数を乗じた値を越えた場合に異常と判断しても良い。本実施形態においては説明を容易にするために基準回数を用いた例を挙げて説明する。
【００４６】
図１０は第１閾範囲、第２閾範囲及びアプリ操作命令数の変化を示すグラフである。図１０における横軸は時間である。縦軸はアプリ操作命令数である。黒丸で示す系列は上側が第１閾範囲の上限の時間的変化を示し、下側は第１閾範囲の下限を示す。白丸で示す系列は、監視対象のユーザのパーソナルコンピュータ２の入力部２３を通じてサーバコンピュータ１に入力された単位時間当たりのアプリ操作命令数である。１０時台では入力されたアプリ操作命令数が第１閾範囲の上限を越えていることが理解できる。
【００４７】
第２閾範囲は横方向の矢印で示している。３時間を越えて第１閾範囲を越える場合に、異常を出力するものとする。ＣＰＵ１１は１３時台においても第２閾範囲の３時間を越えていることから異常と判断する。なお、本実施形態においては、時間帯毎に第１閾範囲を設定し、時間帯毎にアプリ操作命令数を監視する例を挙げたがこれに限るものではない。累積回数に基づき、第１閾範囲を設定し、アプリ操作命令数の累積回数を監視するようにしても良い。
【００４８】
図１１は第１閾範囲、第２閾範囲及びアプリ操作命令累積数の変化を示すグラフである。図１１における横軸は時間である。縦軸はアプリ操作命令累積数である。黒丸で示す系列は上側が第１閾範囲の上限の時間的変化を示し、下側は第１閾範囲の下限を示す。白丸で示す系列は、監視対象のユーザのパーソナルコンピュータ２の入力部２３を通じてサーバコンピュータ１に入力されたアプリ操作命令累積数である。１２時台では入力されたアプリ操作命令累積数が第１閾範囲の上限を越えていることが理解できる。
【００４９】
第２閾範囲は横方向の矢印で示している。３時間を越えて第１閾範囲を越える場合に、異常を出力するものとする。ＣＰＵ１１は１５時台においても第２閾範囲の３時間を越えていることから異常と判断する。
【００５０】
図１２は異常情報を出力する際のイメージ図である。ＣＰＵ１１は異常と判断した場合、ＣＰＵ１１は、時計部１８から日時を読み出し、異常に係るユーザＩＤを読み出す。ＣＰＵ１１は記憶部１５に記憶したテンプレート文章に日、時間帯及びユーザＩＤを記述する。図１２に示すように１０月２１日１０時台に、ユーザＩＤ「００１」に関し、異常が発生したことが出力される。ＣＰＵ１１は表示部１４に異常情報を出力する。その他、ＣＰＵ１１は管理コンピュータ３へ通信部１６を介して異常情報を出力する。管理コンピュータ３のＣＰＵ３１は異常情報を受信した場合、表示部３４に異常情報を表示する。なお、ＣＰＵ１１は記憶部１５に記憶したオペレータのメールアドレスを読み出し、電子メールにて、異常情報を読み出したメールアドレス宛へ送信しても良い。その他、ＣＰＵ１１は異常と検出されたユーザＩＤ「００１」のパーソナルコンピュータ２へ異常情報を出力しても良い。また異常情報の出力は表示部１４または表示部３４への出力に限るものではない。例えば図示しないスピーカによる音声出力、図示しない発光素子による光出力であっても良い。本実施形態では説明を容易にするために、管理コンピュータ３へ異常情報を出力する例を挙げて説明する。
【００５１】
図１３は基準値算出処理の手順を示すフローチャートである。ＣＰＵ１１は履歴ＤＢ１５３から、時間帯毎にアプリ操作命令数を計数する（ステップＳ３１）。ＣＰＵ１１は同様に所定期間内遡り、時間帯毎にアプリ操作命令数を計数する。この所定期間は例えば平日の１ヶ月間とすればよい。ＣＰＵ１１は所定期間内の時間帯毎のアプリ操作命令数の平均を算出する（ステップＳ３２）。ＣＰＵ１１は以上の処理を予め定めた数のユーザについて行う。これにより、複数のユーザ毎に、時間帯毎のアプリ操作命令数の平均が算出される。
【００５２】
ＣＰＵ１１は各ユーザの時間帯毎のアプリ操作命令数の平均を加算し、ユーザ数で除すことで、時間帯別の平均アプリ操作命令数を算出する（ステップＳ３３）。ＣＰＵ１１は時間帯別平均アプリ操作命令数を基準値として記憶部１５に記憶する（ステップＳ３４）。なお、本実施形態においては時間帯別にアプリ操作命令数の平均を算出したがこれに限るものではない。一日毎のアプリ操作命令数の平均を算出しても良い。また複数のユーザの平均アプリ操作命令数を基準値としたが、一のユーザの平均アプリ操作命令数を基準値としても良い。なお、以上述べた基準値の算出は所定期間毎（例えば１週間毎）に行えば良い。
【００５３】
図１４及び図１５は第１閾範囲及び第２閾範囲の決定処理手順を示すフローチャートである。オペレータは管理コンピュータ３の入力部３３から過去の事件状況、対象の機密性及び対象の強度を入力する。なお、これらの情報は図７で説明したとおり、複数のレベルを入力すればよい。ＣＰＵ３１は入力部３３から入力された過去の事件状況、対象の機密性及び対象の強度を、通信部３６を介してサーバコンピュータ１へ送信する。サーバコンピュータ１のＣＰＵ１１は通信部１６を介して、過去の事件状況、対象の機密性及び対象の強度を受け付ける（ステップＳ１３１）。
【００５４】
ＣＰＵ１１はセキュリティポリシーテーブル１５４から、受け付けた過去の事件状況、対象の機密性及び対象の強度のレベルに対応する点数を読み出す（ステップＳ１３２）。ＣＰＵ１１は履歴ＤＢ１５３を参照し、ユーザ毎にアプリ操作命令数を計数する（ステップＳ１３３）。なお、ＣＰＵ１１は計数の際、任意の１または複数の時間帯のアプリ操作命令数を計数するほか、１日間のアプリ操作命令数を計数しても良い。本実施形態では、１日間のアプリ操作命令数を計数する例を挙げて説明する。
【００５５】
ＣＰＵ１１はステップＳ１３３の処理を複数のユーザについて行う。ＣＰＵ１１は複数のユーザのアプリ操作命令数の平均値を算出する（ステップＳ１３４）。ＣＰＵ１１は平均値及び各ユーザのアプリ操作命令数に基づき、分散を算出する（ステップＳ１３５）。具体的には、各ユーザのアプリ操作命令数から平均値を減じ、減じた値の２乗の総和をユーザ数で除すことにより、分散を算出する。なお、本実施形態では複数のユーザのアプリ操作命令数に基づき分散を算出したがこれに限るものではない。一ユーザの複数日間の分散を算出しても良い。
【００５６】
ＣＰＵ１１は分散テーブル１５５を参照し、算出した分散に対応する点数を読み出す（ステップＳ１３６）。ＣＰＵ１１はステップＳ１３２で読み出した点数と、ステップＳ１３６で読み出した点数とを加算する（ステップＳ１３７）。ＣＰＵ１１は範囲テーブル１５６を参照し、加算した点数に対応する第１閾範囲の上限係数、第１閾範囲の下限係数及び第２閾範囲係数を読み出す（ステップＳ１３８）。ＣＰＵ１１は記憶部１５に記憶した基準値を読み出す（ステップＳ１３９）。
【００５７】
ＣＰＵ１１は各時間帯の基準値に第１閾範囲の上限係数を乗じ、また、各時間帯の基準値に第１閾範囲の下限係数を乗じ、第１閾範囲を決定する（ステップＳ１４１）。ＣＰＵ１１は第１閾範囲を第１閾範囲ファイル１５１に記憶する（ステップＳ１４２）。ＣＰＵ１１は記憶部１５に記憶した基準時間を読み出す（ステップＳ１４３）。ＣＰＵ１１は基準時間に算出した第２閾範囲係数を乗じる（ステップＳ１４４）。ＣＰＵ１１は乗じた値を第２閾範囲ファイル１５２に記憶する（ステップＳ１４５）。なお、本実施形態においては、セキュリティポリシーテーブル１５４に基づく点数と、分散テーブルに基づく点数との双方を用いる例を挙げて説明したが、これに限るものではない。いずれか一方を用いるものであっても良い。
【００５８】
サーバコンピュータ１のＣＰＵ１１は危険性の増減情報を受け付けた場合、危険性の増減に応じて第１閾範囲及び第２閾範囲を補正する。例えば、増減情報により危険性が増加した場合、第１閾範囲及び第２閾範囲を小さく補正する。増減情報により危険性が減少した場合、第１閾範囲及び第２閾範囲が大きくなるよう補正する。なお、本実施形態においては受け付けた危険性の増減情報に応じて第１閾範囲及び第２閾範囲の双方を補正する例を挙げて説明するが、第１閾範囲または第２閾範囲のいずれか一方であっても良い。
【００５９】
危険性の変化は例えば、外的要因によるものと、内的要因によるものとがある。外的要因が変化する場合としては、新たなウィルスに関する情報を受信した場合である。ウィルスに関する情報は、例えば、新たな脅威となるウィルスが発生したことを示す情報と、発生したウィルスに対するワクチンが生成されたことを示す情報とがある。前者は危険性が増加したことを示す情報であり、後者は危険性が減少したことを示す情報である。セキュリティサーバ４はウィルスが発生したことを示す情報（以下、ウィルス発生情報という。）及びワクチンが生成されたことを示す情報（以下、ワクチン生成情報という）をサーバコンピュータ１へ送信する。
【００６０】
ＣＰＵ１１は通信部１６を介して危険性の増減情報であるウィルス発生情報及びワクチン生成情報を取得する。ＣＰＵ１１は予め記憶部１５に記憶した第１補正量（例えば、アプリ操作命令数「２回」）を読み出す。ＣＰＵ１１は危険性が増加したことを示すウィルス発生情報を取得した場合、第１閾範囲を小さくすべく、第１閾範囲ファイル１５１に記憶した第１閾範囲の上限及び下限を読み出す。ＣＰＵ１１は第１閾範囲の上限から第１補正量を減じ、第１閾範囲の下限に第１補正量を加算する。ＣＰＵ１１は補正後の第１閾範囲の上限及び下限を第１閾範囲ファイル１５１に記憶する。
【００６１】
一方、ＣＰＵ１１は危険性が減少したことを示すワクチン生成情報を取得した場合、第１閾範囲を大きくすべく、第１閾範囲ファイル１５１に記憶した第１閾範囲の上限及び下限を読み出す。ＣＰＵ１１は第１閾範囲の上限に第１補正量を加算し、第１閾範囲の下限から第１補正量を減算する。ＣＰＵ１１は補正後の第１閾範囲の上限及び下限を第１閾範囲ファイル１５１に記憶する。なお、本実施形態においては、セキュリティサーバ４からウィルス発生情報及びワクチン生成情報をサーバコンピュータ１へ送信する例を示したがこれに限るものではない。例えば、管理コンピュータ３の入力部３３からオペレータがウィルス発生情報及びワクチン生成情報を入力しても良い。管理コンピュータ３のＣＰＵ３１は、通信部３６を介して、ウィルス発生情報及びワクチン生成情報をサーバコンピュータ１へ送信する。サーバコンピュータ１のＣＰＵ１１は通信部１６を介してウィルス発生情報及びワクチン生成情報を取得する。
【００６２】
ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す。ＣＰＵ１１は記憶部１５から予め記憶された第２補正量（例えば、２０分）を読み出す。ＣＰＵ１１は危険性が増加したことを示すウィルス発生情報を取得した場合、第２閾範囲を小さくすべく、第２閾範囲ファイル１５２に記憶した第２閾範囲を読み出す。ＣＰＵ１１は第２閾範囲から第２補正量を減じる。ＣＰＵ１１は補正後の第２閾範囲を第２閾範囲ファイル１５２に記憶する。
【００６３】
その他、外的要因としては、情報処理システムに関連する法律が変更された場合等である。例えば、情報処理システムが個人情報を取り扱っているとする。ここで、個人情報保護法が改正された場合、外的要因が変化したこととなる。個人情報保護法により、サーバコンピュータ１で取り扱う個人情報についてのより厳密な管理が要求され、これに違反した場合、法上の責任が生じる場合、危険性が増加したことになる。一方、個人情報保護法の法改正により、サーバコンピュータ１で取り扱う個人情報の一部の保護が不要になった等の場合、危険性が減少したことになる。オペレータは、法改正に伴い危険性が増加した、または、危険性が減少したことを示す増減情報を、管理コンピュータ３の入力部３３から入力する。管理コンピュータ３のＣＰＵ３１は、通信部３６を介して、危険性の増減情報をサーバコンピュータ１へ送信する。サーバコンピュータ１のＣＰＵ１１は通信部１６を介して危険性の増減情報を取得する。
【００６４】
内的要因が変化する場合とは、例えば、サーバコンピュータ１、管理コンピュータ３、パーソナルコンピュータ２または指紋認証装置２Ｄの使用環境が変化した場合等である。以下では、一例として監視対象のパーソナルコンピュータ２の使用環境が変化した場合の例を説明する。使用環境とは例えばパーソナルコンピュータ２のハードウェア環境またはソフトウェア環境である。
【００６５】
図１６は環境ファイル３５２のレコードレイアウトを示す説明図である。環境ファイル３５２はパーソナルコンピュータ２毎にハードウェア環境及びソフトウェア環境を記憶している。環境ファイル３５２は端末ＩＤフィールド、ハードウェア環境フィールド及びソフトウェア環境フィールド等を含む。端末ＩＤフィールドには、パーソナルコンピュータ２を特定するための識別情報（以下、端末ＩＤという）が記憶されている。ハードウェア環境は例えば、サーバコンピュータ１へログインする際の認証方法、及び、セキュリティチップの有無等である。認証方法フィールドには、各パーソナルコンピュータ２に実装された認証装置の種類が記憶されている。指紋認証装置が実装されている場合、指紋認証と記憶され、静脈認証装置が実装されている場合、静脈認証と記憶される。生体認証装置が実装されていない場合、ＩＤ・パスワードと記憶される。
【００６６】
管理コンピュータ３のＣＰＵ３１はハードウェア環境及びソフトウェア環境が変更された場合、変更後の環境を端末ＩＤに対応付けて、環境ファイル３５２に記憶する。その他、オペレータは入力部３３から端末ＩＤ毎のハードウェア環境及びソフトウェア環境を入力し、環境ファイル３５２に記憶するようにしても良い。本実施形態においてはセキュリティの強度は、ＩＤ・パスワード、指紋認証、静脈認証の順に高くなるものとする。セキュリティの強度が高くなった場合、危険性が減少することとなる。一方、セキュリティの強度が低くなった場合、危険性が増加することとなる。
【００６７】
例えば、ＩＤ・パスワード認証から、指紋認証へ変更した場合、セキュリティの強度は高くなる。逆に、指紋認証装置を撤去し、指紋認証からＩＤ・パスワード認証へ変更した場合、セキュリティの強度は低下する。管理コンピュータ３のＣＰＵ３１は、セキュリティの強度が高くなった場合、危険性が減少したことを示す情報をサーバコンピュータ１へ送信する。一方、セキュリティの強度が低くなった場合、危険性が増加したことを示す情報を、サーバコンピュータ１へ送信する。
【００６８】
セキュリティチップフィールドにはパーソナルコンピュータ２に実装されるセキュリティチップの有無が記憶されている。セキュリティチップは、ＴＣＧ（Trusted Computing Group）の仕様に基づいたＴＰＭ（Trusted Platform Module）と称されるＩＣ（Integrated Circuit）チップである。セキュリティチップはＴＣＧにより策定されたセキュリティの基本機能を備える。このセキュリティチップをパーソナルコンピュータ２に実装することにより、ソフトウェアによる攻撃及び物理的な攻撃からデータを保護し、実装されていないパーソナルコンピュータ２と比較して、より強固なセキュリティを実現する。
【００６９】
管理コンピュータ３のＣＰＵ３１は、セキュリティチップを実装した場合、危険性が減少したことを示す情報をサーバコンピュータ１へ送信する。一方、セキュリティチップを除去した場合、危険性が増加したことを示す情報を、サーバコンピュータ１へ送信する。ソフトウェア環境フィールドとしては、例えば、パーソナルコンピュータ２にインストールされたＯＳ及びブラウザの種類及びバージョンが挙げられる。パーソナルコンピュータ２のブラウザの種類及びバージョンが変更される度に、管理コンピュータ３の環境ファイル３５２のソフトウェア環境フィールドの内容も更新される。
【００７０】
管理コンピュータ３のＣＰＵ３１は、環境ファイル３５２を参照し、ＯＳまたはブラウザの種類またはバージョンがグレードアップした場合、危険性が減少したことを示す情報をサーバコンピュータ１へ送信する。一方、ＣＰＵ３１は、ＯＳまたはブラウザの種類またはバージョンがグレードダウンした場合、危険性が増加したことを示す情報を、サーバコンピュータ１へ送信する。なお、ＯＳ及びブラウザの種類及びバージョンに対するグレードの情報は記憶部１５に予め記憶しておくか、外部の図示しないサーバコンピュータから取得すればよい。なお、本実施形態においては、環境ファイル３５２はパーソナルコンピュータ２のハードウェア及びソフトウェアの情報を記憶する例を挙げたがこれに限るものではない。環境ファイル３５２にサーバコンピュータ１、指紋認証装置２Ｄ、またはセキュリティサーバ４のハードウェアまたはソフトウェアの情報を同様に記憶しておいても良い。ＣＰＵ３１は環境ファイル３５２を参照し、サーバコンピュータ１、指紋認証装置２Ｄ、またはセキュリティサーバ４の危険性が増加したか、または、減少したかを判断しても良い。
【００７１】
その他、内的要因が変動する場合として、人事異動がある。例えば、派遣社員数が増加した場合、危険性が増加する。派遣社員数が減少する場合、危険性が減少する。人事ファイル３５１の内容は人事異動の度に更新される。管理コンピュータ３のＣＰＵ３１は派遣社員数が増加したと判断した場合、危険性が増加したことを示す情報を、サーバコンピュータ１へ送信する。一方、管理コンピュータ３のＣＰＵ３１は派遣社員数が減少したと判断した場合、危険性が減少したことを示す情報を、サーバコンピュータ１へ送信する。
【００７２】
以下では、説明を容易にするために、ソフトウェア環境の内ＯＳの変化に伴う危険性の増減及びウィルスに関する情報に基づく危険性の増減を例に挙げて説明する。なお、サーバコンピュータ１の履歴ＤＢ１５３、管理コンピュータ３の環境ファイル３５２等の各種ＤＢ及びファイルのレコードレイアウトは一例でありこれに限るものではない。データ間の関係さえ維持されていれば他の記憶形態であっても良い。またこれらＤＢ及びファイルはサーバコンピュータ１の記憶部１５または管理コンピュータ３の記憶部３５に記憶した例を挙げたがこれに限るものではない。他の図示しないＤＢサーバコンピュータ内にデータを記憶しておき、必要に応じて読み出し及び書き込みを行っても良い。
【００７３】
図１７及び図１８は第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。セキュリティサーバ４は、ウィルスに関する情報として、新たなウィルスが発生した場合、ウィルス発生情報をサーバコンピュータ１へ送信する（ステップＳ１６１）。またセキュリティサーバ４はウィルスに関する情報として、ワクチンを生成した場合、ワクチン生成情報をサーバコンピュータ１へ送信する（ステップＳ１６２）。
【００７４】
サーバコンピュータ１は通信部１６を介して、ウィルス発生情報及びワクチン生成情報を含む危険性の増減情報を取得（受信）する（ステップＳ１６３）。サーバコンピュータ１のＣＰＵ１１はウィルス発生情報を取得したか否かを判断する（ステップＳ１６４）。ＣＰＵ１１はウィルス発生情報を取得したと判断した場合（ステップＳ１６４でＹＥＳ）、記憶部１５に予め記憶した第１補正量及び第２補正量を読み出す（ステップＳ１６５）。ＣＰＵ１１は第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ１６６）。
【００７５】
ＣＰＵ１１は第１閾範囲の上限から第１補正量を減算する（ステップＳ１６７）。ＣＰＵ１１は第１閾範囲の下限に第１補正量を加算する（ステップＳ１６８）。ＣＰＵ１１は補正後の第１閾範囲の上限及び下限を第１閾範囲ファイル１５１に記憶する（ステップＳ１６９）。ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す（ステップＳ１７１）。ＣＰＵ１１は第２閾範囲から第２補正量を減じる（ステップＳ１７２）。ＣＰＵ１１は補正後の第２閾範囲を第２閾範囲ファイル１５２に記憶する（ステップＳ１７３）。
【００７６】
ＣＰＵ１１はウィルス発生情報を取得していないと判断した場合（ステップＳ１６４でＮＯ）、ステップＳ１７４へ移行する。ＣＰＵ１１はワクチン生成情報を取得したか否かを判断する（ステップＳ１７４）。ＣＰＵ１１はワクチン生成情報を取得したと判断した場合（ステップＳ１７４でＹＥＳ）、記憶部１５に予め記憶した第１補正量及び第２補正量を読み出す（ステップＳ１７５）。ＣＰＵ１１は第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ１７６）。
【００７７】
ＣＰＵ１１は第１閾範囲の上限に第１補正量を加算する（ステップＳ１７７）。ＣＰＵ１１は第１閾範囲の下限から第１補正量を減算する（ステップＳ１７８）。ＣＰＵ１１は補正後の第１閾範囲の上限及び下限を第１閾範囲ファイル１５１に記憶する（ステップＳ１７９）。ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す（ステップＳ１７１０）。ＣＰＵ１１は第２閾範囲に第２補正量を加算する（ステップＳ１７１１）。ＣＰＵ１１は補正後の第２閾範囲を第２閾範囲ファイル１５２に記憶する（ステップＳ１７１２）。ＣＰＵ１１はワクチン生成情報を取得していないと判断した場合（ステップＳ１７４でＮＯ）、処理を終了する。
【００７８】
図１９乃至図２２は第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。パーソナルコンピュータ２のユーザは新たなバージョンのＯＳをインストールする。パーソナルコンピュータ２のＣＰＵ２１は指示に従い、ＯＳをインストールする（ステップＳ１８１）。ＣＰＵ２１は通信部２６を介して、端末ＩＤ及びＯＳのバージョン情報を管理コンピュータ３へ送信する（ステップＳ１８２）。管理コンピュータ３のＣＰＵ３１は端末ＩＤ及びＯＳのバージョンを受信する（ステップＳ１８３）。
【００７９】
ＣＰＵ３１は環境ファイル３５２から端末ＩＤに対応するＯＳのバージョンを読み出す（ステップＳ１８４）。ＣＰＵ３１は受信したＯＳのバージョンと、読み出したＯＳのバージョンとを比較し、ＯＳがバージョンアップされたか否かを判断する（ステップＳ１８５）。例えば、ＣＰＵ３１はＯＳのバージョンと、バージョンアップ日時を記憶した記憶部１５を参照し、バージョンアップ日時が新しいものに変更された場合、バージョンアップされたと判断すればよい。
【００８０】
ＣＰＵ３１はＯＳのバージョンアップがあったと判断した場合（ステップＳ１８５でＹＥＳ）、危険性の減少を示す情報をサーバコンピュータ１へ送信する（ステップＳ１８６）。ＣＰＵ３１はＯＳのバージョンアップがない、すなわちＯＳのグレードダウンがあったと判断した場合（ステップＳ１８５でＮＯ）、危険性の増加を示す情報をサーバコンピュータ１へ送信する（ステップＳ１８７）。サーバコンピュータ１は通信部１６を介して、危険性の増減情報を取得（受信）する（ステップＳ１８８）。サーバコンピュータ１のＣＰＵ１１は危険性の増加を示す情報を取得したか否かを判断する（ステップＳ１８９）。ＣＰＵ１１は危険性の増加を示す情報を取得したと判断した場合（ステップＳ１８９でＹＥＳ）、記憶部１５に予め記憶した第１補正量及び第２補正量を読み出す（ステップＳ１９１）。ＣＰＵ１１は第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ１９２）。
【００８１】
ＣＰＵ１１は第１閾範囲の上限から第１補正量を減算する（ステップＳ１９３）。ＣＰＵ１１は第１閾範囲の下限に第１補正量を加算する（ステップＳ１９４）。ＣＰＵ１１は補正後の第１閾範囲の上限及び下限を第１閾範囲ファイル１５１に記憶する（ステップＳ１９５）。ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す（ステップＳ１９６）。ＣＰＵ１１は第２閾範囲から第２補正量を減じる（ステップＳ１９７）。ＣＰＵ１１は補正後の第２閾範囲を第２閾範囲ファイル１５２に記憶する（ステップＳ１９８）。
【００８２】
ＣＰＵ１１は危険性の増加を示す情報を取得していないと判断した場合（ステップＳ１８９でＮＯ）、ステップＳ２０１へ移行する。ＣＰＵ１１は危険性の減少を示す情報を取得したか否かを判断する（ステップＳ２０１）。ＣＰＵ１１は危険性の減少を示す情報を取得したと判断した場合（ステップＳ２０１でＹＥＳ）、記憶部１５に予め記憶した第１補正量及び第２補正量を読み出す（ステップＳ２０２）。ＣＰＵ１１は第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ２０３）。
【００８３】
ＣＰＵ１１は第１閾範囲の上限に第１補正量を加算する（ステップＳ２０４）。ＣＰＵ１１は第１閾範囲の下限から第１補正量を減算する（ステップＳ２０５）。ＣＰＵ１１は補正後の第１閾範囲の上限及び下限を第１閾範囲ファイル１５１に記憶する（ステップＳ２０６）。ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す（ステップＳ２０７）。ＣＰＵ１１は第２閾範囲に第２補正量を加算する（ステップＳ２０８）。ＣＰＵ１１は補正後の第２閾範囲を第２閾範囲ファイル１５２に記憶する（ステップＳ２０９）。ＣＰＵ１１は危険性の減少を示す情報を取得していないと判断した場合（ステップＳ２０１でＮＯ）、処理を終了する。
【００８４】
図２３及び図２４は異常判断処理の手順を示すフローチャートである。サーバコンピュータ１のＣＰＵ１１は、図１７乃至図２２の処理と並行して以下の処理を行う。ＣＰＵ１１はパーソナルコンピュータ２から送信されたユーザＩＤ及びアプリ操作命令の入力を、通信部１６を介して受け付ける（ステップＳ２２１）。ＣＰＵ１１は、時計部１８からの出力を参照し、入力されたユーザＩＤ、アプリ操作命令及び日時を履歴ＤＢ１５３に記憶する（ステップＳ２２２）。ＣＰＵ１１は単位時間（例えば１時間）が経過したか否かを判断する（ステップＳ２２３）。
【００８５】
ＣＰＵ１１は単位時間を経過していないと判断した場合（ステップＳ２２３でＮＯ）、ステップＳ２２１に処理を戻す。ＣＰＵ１１は単位時間を経過したと判断した場合（ステップＳ２２３でＹＥＳ）、第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ２２４）。ＣＰＵ１１は履歴ＤＢ１５３を参照し、単位時間当たりのアプリ操作命令数を計数する（ステップＳ２２５）。ＣＰＵ１１は計数したアプリ操作命令数が第１閾範囲の上限または下限を越えるか否かを判断する（ステップＳ２２６）。なお、本実施形態においては、ＣＰＵ１１はアプリ操作命令数が第１閾範囲の上限より大きいか、または下限よりも小さいかを判断しているがこれに限るものではない。ＣＰＵ１１はアプリ操作命令数が第１閾範囲の上限以上か、または下限以下かを判断してもよい。
【００８６】
ＣＰＵ１１は第１閾範囲の上限または下限を越えないと判断した場合（ステップＳ２２６でＮＯ）、処理をステップＳ２２１に戻す。ＣＰＵ１１は第１閾範囲の上限または下限を越えると判断した場合（ステップＳ２２６でＹＥＳ）、第１閾範囲を越えた日、時間帯及びユーザＩＤを記憶部１５に記憶する（ステップＳ２２７）。これにより、第１閾範囲を越えた時間帯の履歴が蓄積される。ＣＰＵ１１は第２閾範囲を第２閾範囲ファイル１５２から読み出す（ステップＳ２２８）。ＣＰＵ１１は第１閾範囲を連続して越えた時間帯数が第２閾範囲を越えるか否かを判断する（ステップＳ２２９）。なお、本実施形態においてＣＰＵ１１は、第１閾範囲を連続して越えた時間帯数が、第２閾範囲よりも大きいか否かを判断するがこれに限るものではない。ＣＰＵ１１は、第１閾範囲を連続して越えた時間帯数が、第２閾範囲以上否かを判断しても良い。また本実施形態においてＣＰＵ１１は、第１閾範囲を越える時間帯が連続して第２閾範囲を越える場合に異常と判断したがこれに限るものではない。ＣＰＵ１１は、連続していなくても所定時間内に第２閾範囲を越えた場合に異常と判断しても良い。例えば第２閾範囲が４時間であり、７時間の間に第１閾範囲を越えた時間帯が５時間存在する場合に異常と判断しても良い。
【００８７】
ＣＰＵ１１は時間帯数が第２閾範囲を越えないと判断した場合（ステップＳ２２９でＮＯ）、処理をステップＳ２２１へ戻す。ＣＰＵ１１は時間帯数が第２閾範囲を越えると判断した場合（ステップＳ２２９でＹＥＳ）、異常情報のテンプレートを記憶部１５から読み出す（ステップＳ２３１）。ＣＰＵ１１は読み出したテンプレートに、ユーザＩＤ、日及び時間帯を記述する（ステップＳ２３２）。ＣＰＵ１１は管理コンピュータ３のアドレスを記憶部１５から読み出す（ステップＳ２３３）。
【００８８】
ＣＰＵ１１は読み出したアドレス宛へ異常情報を出力する（ステップＳ２３４）。管理コンピュータ３のＣＰＵ３１は、通信部３６を介して異常情報を受信する（ステップＳ２３５）。ＣＰＵ３１は異常情報を表示部３４に表示する（ステップＳ２３６）。これにより、セキュリティポリシー及び分散に応じて定まる第１閾範囲及び第２閾範囲を危険性の増減に応じて適宜補正でき、状況に沿った適切な異常判断が可能となる。
【００８９】
実施の形態２
実施の形態２はアプリ操作命令数の変化率に基づき異常を検出する形態に関する。図２５はアプリ操作命令数の変化率の時間的な変化を示すグラフである。横軸は時間、縦軸は変化率である。白丸で示す系列は、単位時間当たりのアプリ操作命令数を１時間前の単位時間当たりのアプリ操作命令数で除し、１００を乗じた値（以下変化率という）である。変化率が急激に上昇または下降する場合、異常と判断する。なお、変化率に代えて、角度または差分をパラメータとしても良い。
【００９０】
ＣＰＵ１１は例えば、基準となる変化率を１００％とし、記憶部１５に記憶しておく。ＣＰＵ１１は実施の形態１で述べたように、セキュリティポリシーテーブル１５４、分散テーブル１５５及び範囲テーブル１５６を参照し、第１閾範囲を算出する。例えば、高度の安全性が要求される場合、係数は小さく第１閾範囲は８０％〜１２０％とすれば良い。また、高度の安全性が要求されない場合、係数は大きく第１閾範囲は４０％〜２５０％とすれば良い。危険性が増大した場合、実施の形態１で述べたと同様にＣＰＵ１１は第１閾範囲の上限から第１補正量を減算し、下限に第１補正量を加算する。ＣＰＵ１１は第２閾範囲から第２補正量を減算する。
【００９１】
一方、危険性が減少した場合、実施の形態１で述べたと同様にＣＰＵ１１は第１閾範囲の上限に第１補正量を加算し、下限から第１補正量を減算する。ＣＰＵ１１は第２閾範囲に第２補正量を加算する。
【００９２】
図２６及び図２７は実施の形態２に係る異常判断処理の手順を示すフローチャートである。サーバコンピュータ１のＣＰＵ１１は、図１７乃至図２２の処理と並行して以下の処理を行う。ＣＰＵ１１はパーソナルコンピュータ２から送信されたユーザＩＤ及びアプリ操作命令の入力を、通信部１６を介して受け付ける（ステップＳ２６１）。ＣＰＵ１１は、時計部１８からの出力を参照し、入力されたユーザＩＤ、アプリ操作命令及び日時を履歴ＤＢ１５３に記憶する（ステップＳ２６２）。ＣＰＵ１１は単位時間（例えば１時間）が経過したか否かを判断する（ステップＳ２６３）。
【００９３】
ＣＰＵ１１は単位時間を経過していないと判断した場合（ステップＳ２６３でＮＯ）、ステップＳ２６１に処理を戻す。ＣＰＵ１１は単位時間を経過したと判断した場合（ステップＳ２６３でＹＥＳ）、第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ２６４）。ＣＰＵ１１は履歴ＤＢ１５３を参照し、単位時間当たりのアプリ操作命令数を計数する（ステップＳ２６５）。ＣＰＵ１１は１単位時間前、すなわち１時間前の単位時間当たりのアプリ操作命令数を、履歴ＤＢ１５３から読み出す（ステップＳ２６６）。
【００９４】
ＣＰＵ１１はステップＳ２６５で読み出したアプリ操作命令数をステップＳ２６６で読み出したアプリ操作命令数で除し、１００を乗じることで変化率を算出する（ステップＳ２６７）。ＣＰＵ１１は算出した変化率が第１閾範囲の上限または下限を越えるか否かを判断する（ステップＳ２６８）。なお、１時間前の単位時間当たりのアプリ操作命令数が存在しない場合は、変化率を初期値１００％とすれば良い。
【００９５】
ＣＰＵ１１は第１閾範囲の上限または下限を越えないと判断した場合（ステップＳ２６８でＮＯ）、処理をステップＳ２６１に戻す。ＣＰＵ１１は第１閾範囲の上限または下限を越えると判断した場合（ステップＳ２６８でＹＥＳ）、第１閾範囲を越えた日、時間帯及びユーザＩＤを記憶部１５に記憶する（ステップＳ２６９）。これにより、第１閾範囲を越えた時間帯の履歴が蓄積される。ＣＰＵ１１は第２閾範囲を第２閾範囲ファイル１５２から読み出す（ステップＳ２７１）。ＣＰＵ１１は第１閾範囲を連続して越えた時間帯数が第２閾範囲を越えるか否かを判断する（ステップＳ２７２）。
【００９６】
ＣＰＵ１１は連続する時間帯数が第２閾範囲を越えないと判断した場合（ステップＳ２７２でＮＯ）、処理をステップＳ２６１へ戻す。ＣＰＵ１１は連続する時間帯数が第２閾範囲を越えると判断した場合（ステップＳ２７２でＹＥＳ）、異常情報のテンプレートを記憶部１５から読み出す（ステップＳ２７３）。なお、ＣＰＵ１１は連続していなくても、所定時間内に第１閾範囲を超えた時間帯数が、第２閾範囲を越えた場合にも異常と判断しても良い。ＣＰＵ１１は読み出したテンプレートに、ユーザＩＤ、日及び時間帯を記述する（ステップＳ２７４）。ＣＰＵ１１は管理コンピュータ３のアドレスを記憶部１５から読み出す（ステップＳ２７５）。
【００９７】
ＣＰＵ１１は読み出したアドレス宛へ異常情報を出力する（ステップＳ２７６）。管理コンピュータ３のＣＰＵ３１は、通信部３６を介して異常情報を受信する（ステップＳ２７７）。ＣＰＵ３１は異常情報を表示部３４に表示する（ステップＳ２７８）。これにより、入力情報が急変した場合も、状況に沿った適切な異常判断が可能となる。
【００９８】
本実施の形態２は以上の如きであり、その他は実施の形態１と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
【００９９】
実施の形態３
実施の形態３は異常出力時の対応に応じて第１閾範囲及び第２閾範囲を補正する形態に関する。図２８は実施の形態３のサーバコンピュータ１のハードウェア群を示すブロック図である。記憶部１５には異常履歴ＤＢ１５７が設けられている。
【０１００】
図２９は対応情報の入力イメージを示す説明図である。実施の形態１及び２で述べた異常情報が出力される際、対応情報の入力項目も併せて出力される。オペレータは異常情報が出力された際、異常に対応する。または、偶発的な異常であるとして異常に対応しないこともある。オペレータは管理コンピュータ３の入力部３３から対応情報を入力する。
【０１０１】
図２９に示すように、異常情報として、日、時間帯、ユーザＩＤが表示される。このほか、対応情報の入力項目が表示される。異常に対応したことを示す対応情報としては、例えば「ユーザに注意した。」、「ソフトウェアをバージョンアップした。」、「人事ファイルを更新した。」、「ワクチンを追加した。」等である。オペレータは異常発生時に異常を低減すべく各種の対応をとる。対応済みの対応情報を、入力部３３を通じて入力する。具体的にはチェックボックス２９１が複数の対応情報に対応付けて表示されており、入力部３３を介して、チェックボックス２９１を選択する。
【０１０２】
一方、単なる偶発的な異常であると判断した場合は、対応情報を入力しないか、異常に対応しなかったことを示す非対応情報を入力する。例えば、非対応情報としては、図２９に示すように「放置する。」等である。オペレータは入力部３３を通じて、非対応情報のチェックボックス２９１を選択する。最終的に、オペレータは入力部３３からＯＫボタン２９２をクリックする。ＣＰＵ３１は入力部３３から選択された対応情報の種類または非対応情報を受け付け、ユーザＩＤ、日及び時間帯と共にサーバコンピュータ１へ送信する。
【０１０３】
図３０は異常履歴ＤＢ１５７のレコードレイアウトを示す説明図である。異常履歴ＤＢ１５７はユーザＩＤフィールド、日時フィールド及び対応情報フィールド等を含む。ユーザＩＤフィールドには、異常が検出されたユーザのユーザＩＤが記憶されている。日時フィールドには異常を検出した日及び時間帯を、ユーザＩＤに対応付けて記憶している。対応情報フィールドには、管理コンピュータ３から送信された対応情報の種類を記憶している。
【０１０４】
例えば、ユーザＩＤ「００１」のユーザが１０月２１日１０時台に起こした異常に対しては、対応済みであり、「ソフトウェアをバージョンアップした。」とする種類の対応情報が記憶されている。なお、非対応情報が送信された場合、図３０で示すようにＸが記憶される。ＣＰＵ１１はユーザＩＤ、日、時間帯、及び、対応情報の種類が送信された場合、異常履歴ＤＢ１５７にユーザＩＤ、日、時間帯に対応付けて対応情報の種類を記憶する。一方、ＣＰＵ１１はユーザＩＤ、日、時間帯、及び、非対応情報が送信された場合、異常履歴ＤＢ１５７にユーザＩＤ、日、時間帯に対応付けて非対応情報を記憶する。なお、非対応情報は記憶しなくても良い。
【０１０５】
サーバコンピュータ１は所定期間毎に第１閾範囲及び第２閾範囲の補正を行う。なお、本実施形態においては所定期間を１週間とするがこれに限るものではない。また第１閾範囲及び第２閾範囲の双方を補正する例を挙げて説明するが、いずれか一方であっても良い。ＣＰＵ１１は所定期間経過後に、異常回数の出力回数が第１閾値（例えば１００回）を越えると判断した場合、異常履歴ＤＢ１５７に対応情報が記憶されているか否かを判断する。ＣＰＵ１１は記憶されていないと判断した場合、誤検出が多いものとして、第１閾範囲及び第２閾範囲を大きく補正する。
【０１０６】
ＣＰＵ１１は対応情報が記憶されていると判断した場合、第１閾範囲及び第２閾範囲の値を維持する。さらに、ＣＰＵ１１は異常回数が第１閾値を越えないが、第１閾値より小さい第２閾値（例えば２回）を越えるか否かを判断する。ＣＰＵ１１は第２閾値を越えないと判断した場合、条件が緩やかすぎると判断し、第１閾範囲及び第２閾範囲を小さく補正する。一方、ＣＰＵ１１は第２閾値を越えると判断した場合、適切であるとして、第１閾範囲及び第２閾範囲の値を維持する。
【０１０７】
図３１及び図３２は対応情報の記憶処理手順を示すフローチャートである。サーバコンピュータ１のＣＰＵ１１はステップＳ２７２でＹＥＳの場合、以下の処理を行う。ＣＰＵ１１は記憶部１５に記憶した異常情報のテンプレートを読み出す（ステップＳ３１１）。ＣＰＵ１１はテンプレートに異常と判断されたユーザのユーザＩＤ、日及び時間帯を記述する（ステップＳ３１２）。ＣＰＵ１１はさらに記憶部１５に記憶した対応情報の種類及び非対応情報を記述する（ステップＳ３１３）。
【０１０８】
ＣＰＵ１１は管理コンピュータ３のアドレスを読み出す（ステップＳ３１４）。ＣＰＵ１１はアドレス宛へテンプレートへの記述が完了した異常情報を出力する（ステップＳ３１５）。なお、異常情報は管理コンピュータ３がサーバコンピュータ１へアクセスした場合に、送信するようにしても良い。管理コンピュータ３のＣＰＵ３１は異常情報を受信する（ステップＳ３１６）。ＣＰＵ３１は異常情報を表示部３４に表示する（ステップＳ３１７）。ＣＰＵ３１は対応情報の種類の選択を受け付けたか否かを判断する（ステップＳ３１８）。
【０１０９】
ＣＰＵ３１は対応情報の種類の選択を受け付けたと判断した場合（ステップＳ３１８でＹＥＳ）、ユーザＩＤ、日、時間帯及び対応情報の種類をサーバコンピュータ１へ送信する（ステップＳ３１９）。サーバコンピュータ１のＣＰＵ１１はユーザＩＤ、日、時間帯及び対応情報の種類を受信する（ステップＳ３２１）。ＣＰＵ１１はユーザＩＤ、日、時間帯及び対応情報の種類を異常履歴ＤＢ１５７に記憶する（ステップＳ３２２）。
【０１１０】
管理コンピュータ３のＣＰＵ３１は対応情報の種類の選択を受け付けなかった場合（ステップＳ３１８でＮＯ）、ユーザＩＤ、日、時間帯及び非対応情報をサーバコンピュータ１へ送信する（ステップＳ３２３）。サーバコンピュータ１のＣＰＵ１１はユーザＩＤ、日、時間帯及び非対応情報を受信する（ステップＳ３２４）。ＣＰＵ１１はユーザＩＤ、日、時間帯及び非対応情報を異常履歴ＤＢ１５７に記憶する（ステップＳ３２５）。これにより異常に対して施された対応情報、対応情報の有無、異常回数が異常履歴ＤＢ１５７に蓄積される。
【０１１１】
図３３乃至図３５は第１閾範囲及び第２閾範囲の補正処理手順を示すフローチャートである。サーバコンピュータ１のＣＰＵ１１は所定期間を経過したか否かを判断する（ステップＳ３３１）。ＣＰＵ１１は所定期間を経過していないと判断した場合（ステップＳ３３１でＮＯ）、所定期間を経過するまで待機する。ＣＰＵ１１は所定期間を経過したと判断した場合（ステップＳ３３１でＹＥＳ）、ステップＳ３３２へ移行する。ＣＰＵ１１は異常履歴ＤＢ１５７を参照し、所定期間内の異常情報の出力回数を計数する（ステップＳ３３２）。例えば、ＣＰＵ１１は１週間分の異常情報のレコード数を計数すればよい。
【０１１２】
ＣＰＵ１１は記憶部１５に予め記憶した第１閾値を読み出す（ステップＳ３３３）。ＣＰＵ１１は計数した異常情報の出力回数が第１閾範囲を超えたか否か判断する（ステップＳ３３４）。ＣＰＵ１１は計数した異常情報の出力回数が第１閾値を越えると判断した場合（ステップＳ３３４でＹＥＳ）、ステップＳ３３５へ移行する。ＣＰＵ１１は異常履歴ＤＢ１５７を参照し、ステップＳ３３２で計数したレコード中に対応情報が記憶されているか否かを判断する（ステップＳ３３５）。ＣＰＵ１１は対応情報が記憶されていると判断した場合（ステップＳ３３５でＹＥＳ）、第１閾範囲及び第２閾範囲を維持する（ステップＳ３３６）。すなわち、ＣＰＵ１１は第１閾範囲ファイル１５１及び第２閾範囲ファイル１５２の記憶内容を変更しない。
【０１１３】
ＣＰＵ１１は対応情報が記憶されていないと判断した場合（ステップＳ３３５でＮＯ）、第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ３３７）。ＣＰＵ１１は記憶部１５に記憶した第１補正量を読み出す（ステップＳ３３８）。ＣＰＵ１１は第１閾範囲の上限に第１補正量を加算する（ステップＳ３３９）。ＣＰＵ１１は第１閾範囲の下限から第１補正量を減算する（ステップＳ３４１）。ＣＰＵ１１は第２補正量を記憶部１５から読み出す（ステップＳ３４２）。
【０１１４】
ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す（ステップＳ３４３）。ＣＰＵ１１は第２閾範囲に第２補正量を加算する（ステップＳ３４４）。ステップＳ３３４において、ＣＰＵ１１は異常情報の出力回数が第１閾値を越えないと判断した場合（ステップＳ３３４でＮＯ）、ステップＳ３４５へ移行する。ＣＰＵ１１は第１閾値よりも小さい第２閾値を記憶部１５から読み出す（ステップＳ３４５）。ＣＰＵ１１は異常情報の出力回数は第２閾値を越えるか否かを判断する（ステップＳ３４６）。
【０１１５】
ＣＰＵ１１は第２閾値を越えると判断した場合（ステップＳ３４６でＹＥＳ）、第１閾範囲及び第２閾範囲を維持する（ステップＳ３４７）。すなわち、ＣＰＵ１１は第１閾範囲ファイル１５１及び第２閾範囲ファイル１５２の記憶内容を変更しない。
【０１１６】
ＣＰＵ１１は第２閾値を越えないと判断した場合（ステップＳ３４６でＮＯ）、第１閾範囲ファイル１５１から第１閾範囲の上限及び下限を読み出す（ステップＳ３４８）。ＣＰＵ１１は記憶部１５に記憶した第１補正量を読み出す（ステップＳ３４９）。ＣＰＵ１１は第１閾範囲の上限から第１補正量を減算する（ステップＳ３５１）。ＣＰＵ１１は第１閾範囲の下限に第１補正量を加算する（ステップＳ３５２）。ＣＰＵ１１は第２補正量を記憶部１５から読み出す（ステップＳ３５３）。
【０１１７】
ＣＰＵ１１は第２閾範囲ファイル１５２から第２閾範囲を読み出す（ステップＳ３５４）。ＣＰＵ１１は第２閾範囲から第２補正量を減算する（ステップＳ３５５）。これにより、第１閾範囲及び第２閾範囲を実際の運用面に即して調整することが可能となる。
【０１１８】
本実施の形態３は以上の如きであり、その他は実施の形態１及び２と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
【０１１９】
実施の形態４
実施の形態４は第１補正量及び第２補正量を変更する形態に関する。図３６は第１閾範囲ファイル１５１のレコードレイアウトを示す説明図である。第１閾範囲ファイル１５１は日時フィールド、第１閾範囲フィールド及び補正内容フィールド等を含む。サーバコンピュータ１のＣＰＵ１１は図１７乃至図２２で述べた危険性の増減に伴い、第１閾範囲が補正された場合に、補正後の第１閾範囲、日時及び補正内容を記憶する。その他、ＣＰＵ１１は図３３乃至図３５で述べた異常情報の出力回数及び対応情報の有無に伴い第１閾範囲が補正された場合に、補正後の第１閾範囲、日時及び補正内容を記憶する。
【０１２０】
日時フィールドには、第１閾範囲が補正された際の日時が記憶されている。ＣＰＵ１１は第１閾範囲が補正された際に時計部１８から出力される日時を日時フィールドに記憶する。ＣＰＵ１１は補正後の第１閾範囲を第１閾範囲フィールドに記憶する。ＣＰＵ１１は補正内容フィールドに、第１閾範囲が大きく補正されたか、小さく補正されたかの情報を記憶する。例えばＣＰＵ１１はステップＳ１７７及びＳ１７８の処理により第１閾範囲の上限に第１補正量が加算され、第１閾範囲の下限から第１補正量が減算された場合、大きく補正されたと判断する。また、例えば、ＣＰＵ１１はステップＳ１６７及びＳ１６８の処理により第１閾範囲の上限から第１補正量が減算され、第１閾範囲の下限に第１補正量が加算された場合、小さく補正されたと判断する。
【０１２１】
図３７は第２閾範囲ファイル１５２のレコードレイアウトを示す説明図である。第２閾範囲ファイル１５２は日時フィールド、第２閾範囲フィールド及び補正内容フィールド等を含む。サーバコンピュータ１のＣＰＵ１１は図１７乃至図２２で述べた危険性の増減に伴い、第２閾範囲が補正された場合に、補正後の第２閾範囲、日時及び補正内容を記憶する。その他、ＣＰＵ１１は図３３乃至図３５で述べた異常情報の出力回数及び対応情報の有無に伴い第２閾範囲が補正された場合に、補正後の第２閾範囲、日時及び補正内容を記憶する。
【０１２２】
日時フィールドには、第２閾範囲が補正された際の日時が記憶されている。ＣＰＵ１１は第２閾範囲が補正された際に時計部１８から出力される日時を日時フィールドに記憶する。ＣＰＵ１１は補正後の第２閾範囲を第２閾範囲フィールドに記憶する。ＣＰＵ１１は補正内容フィールドに、第２閾範囲が大きく補正されたか、小さく補正されたかの情報を記憶する。例えばＣＰＵ１１はステップＳ１７１１の処理により第２閾範囲に第２補正量が加算された場合、大きく補正されたと判断する。また、例えば、ＣＰＵ１１はステップＳ１７２の処理により第２閾範囲の上限から第２補正量が減算された場合、小さく補正されたと判断する。
【０１２３】
図３８及び図３９は変更量の算出処理手順を示すフローチャートである。ＣＰＵ１１は第１閾範囲ファイル１５１のレコードが更新される度に以下の処理を行う。ＣＰＵ１１は第１閾範囲ファイル１５１の補正内容フィールドの前回及び今回のレコードを参照し、第１閾範囲は前回も大きく補正されたか否かを判断する（ステップＳ３８１）。具体的にはＣＰＵ１１は今回の補正内容フィールドが大きく補正と記憶され、かつ、前回の補正内容フィールドも大きく補正されている場合に、前回も大きく補正されたと判断する。
【０１２４】
ＣＰＵ１１は、第１閾範囲は前回も大きく補正されたと判断した場合（ステップＳ３８１でＹＥＳ）、記憶部１５に記憶した第１補正量を読み出す（ステップＳ３８２）。ＣＰＵ１１は記憶部１５に記憶した第１変更量を読み出す（ステップＳ３８３）。この第１変更量は後述するように次第に減少する値であり、オペレータが初期値及び減少幅を予め記憶部１５に記憶しておけばよい。例えば初期値は５としておけばよい。ＣＰＵ１１は、第１変更量が第１補正量以上であるか否かを判断する（ステップＳ３８４）。ＣＰＵ１１は、第１変更量は第１補正量以上でないと判断した場合（ステップＳ３８４でＮＯ）、ステップＳ３８７へ移行する。
【０１２５】
ＣＰＵ１１は第１補正量から第１変更量を減算する（ステップＳ３８７）。ＣＰＵ１１は減算後の第１補正量を記憶部１５に記憶する（ステップＳ３８８）。これにより連続して第１閾範囲が拡大される場合でも、拡大幅の増加率が低減される。ＣＰＵ１１は第１変更量を減少させる（ステップＳ３８９）。ＣＰＵ１１は記憶部１５に予め記憶した減少幅に基づき減少させればよい。例えば１ずつ減少させるなどである。その他、第１変更量の平方根、対数を減少後の第１変更量としても良い。さらに、入力した値を減少させる数式を予め記憶しておき、ＣＰＵ１１が第１変更量を数式に代入することにより、減少後の第１変更量を算出しても良い。本実施形態においては説明を容易にするために、初期値を５、ステップＳ３８９の処理の度に０まで１ずつ減少させる例を挙げて説明する。
【０１２６】
ＣＰＵ１１は減少後の第１変更量を記憶部１５に記憶する（ステップＳ３９１）。これにより連続して第１閾範囲が拡大した場合でも、拡大幅は緩やかとなり、異常検出の精度が低下することを防止することが可能となる。ＣＰＵ１１は第１変更量が第１補正量以上であると判断した場合（ステップＳ３８４でＹＥＳ）、第１変更量をゼロに設定する（ステップＳ３８５）。ＣＰＵ１１はゼロとした第１変更量を記憶部１５に記憶する（ステップＳ３８６）。
【０１２７】
ＣＰＵ１１はステップＳ３８１において、第１閾範囲が前回も大きく補正されたと判断しない場合（ステップＳ３８１でＮＯ）、ステップＳ３９２へ移行する。ＣＰＵ１１は第１閾範囲ファイル１５１の補正内容フィールドの前回及び今回のレコードを参照し、第１閾範囲は前回も小さく補正されたか否かを判断する（ステップＳ３９２）。具体的にはＣＰＵ１１は今回の補正内容フィールドが小さく補正と記憶され、かつ、前回の補正内容フィールドも小さく補正されている場合に、前回も小さく補正されたと判断する。
【０１２８】
ＣＰＵ１１は、第１閾範囲は前回も小さく補正されたと判断した場合（ステップＳ３９２でＹＥＳ）、記憶部１５に記憶した第１補正量を読み出す（ステップＳ３９３）。ＣＰＵ１１は記憶部１５に記憶した第１変更量を読み出す（ステップＳ３９４）。ＣＰＵ１１は、第１変更量が第１補正量以上であるか否かを判断する（ステップＳ３９５）。ＣＰＵ１１は、第１変更量は第１補正量以上でないと判断した場合（ステップＳ３９５でＮＯ）、ステップＳ３９８へ移行する。
【０１２９】
ＣＰＵ１１は第１補正量から第１変更量を減算する（ステップＳ３９８）。ＣＰＵ１１は減算後の第１補正量を記憶部１５に記憶する（ステップＳ３９９）。ＣＰＵ１１は第１変更量を減少させる（ステップＳ３９１０）。ＣＰＵ１１は減少後の第１変更量を記憶部１５に記憶する（ステップＳ３９１１）。これにより連続して第１閾範囲が縮小した場合でも、縮小幅は緩やかとなり、異常検出の精度が低下することを防止することが可能となる。ＣＰＵ１１は第１変更量が第１補正量以上であると判断した場合（ステップＳ３９５でＹＥＳ）、第１変更量をゼロに設定する（ステップＳ３９６）。ＣＰＵ１１はゼロとした第１変更量を記憶部１５に記憶する（ステップＳ３９７）。
【０１３０】
ＣＰＵ１１は、第１閾範囲は前回も小さく補正されたと判断しない場合（ステップＳ３９２でＮＯ）、ステップＳ３９１２へ移行する。ＣＰＵ１１は第１変更量を初期値に戻す（ステップＳ３９１２）。ＣＰＵ１１は初期値に戻した第１変更量を記憶部１５に記憶する（ステップＳ３９１３）。
【０１３１】
図４０及び図４１は変更量の算出処理手順を示すフローチャートである。ＣＰＵ１１は第２閾範囲ファイル１５２のレコードが更新される度に以下の処理を行う。ＣＰＵ１１は第２閾範囲ファイル１５２の補正内容フィールドの前回及び今回のレコードを参照し、第２閾範囲は前回も大きく補正されたか否かを判断する（ステップＳ４０１）。具体的にはＣＰＵ１１は今回の補正内容フィールドが大きく補正と記憶され、かつ、前回の補正内容フィールドも大きく補正されている場合に、前回も大きく補正されたと判断する。
【０１３２】
ＣＰＵ１１は、第２閾範囲は前回も大きく補正されたと判断した場合（ステップＳ４０１でＹＥＳ）、記憶部１５に記憶した第２補正量を読み出す（ステップＳ４０２）。ＣＰＵ１１は記憶部１５に記憶した第２変更量を読み出す（ステップＳ４０３）。この第２変更量は後述するように次第に減少する値であり、オペレータが初期値及び減少幅を予め記憶部１５に記憶しておけばよい。例えば初期値は１０分としておけばよい。ＣＰＵ１１は、第２変更量が第２補正量以上であるか否かを判断する（ステップＳ４０４）。ＣＰＵ１１は、第２変更量は第２補正量以上でないと判断した場合（ステップＳ４０４でＮＯ）、ステップＳ４０７へ移行する。
【０１３３】
ＣＰＵ１１は第２補正量から第２変更量を減算する（ステップＳ４０７）。ＣＰＵ１１は減算後の第２補正量を記憶部１５に記憶する（ステップＳ４０８）。これにより連続して第２閾範囲が拡大される場合でも、拡大幅の増加率が低減される。ＣＰＵ１１は第２変更量を減少させる（ステップＳ４０９）。ＣＰＵ１１は記憶部１５に予め記憶した減少幅に基づき減少させればよい。例えば１分ずつ減少させるなどである。その他、第２変更量の平方根、対数を減少後の第２変更量としても良い。さらに、入力した値を減少させる数式を予め記憶しておき、ＣＰＵ１１が第２変更量を数式に代入することにより、減少後の第２変更量を算出しても良い。本実施形態においては説明を容易にするために、初期値を５、ステップＳ４０９の処理の度に０まで１分ずつ減少させる例を挙げて説明する。
【０１３４】
ＣＰＵ１１は減少後の第２変更量を記憶部１５に記憶する（ステップＳ４１１）。これにより連続して第２閾範囲が拡大した場合でも、拡大幅は緩やかとなり、異常検出の精度が低下することを防止することが可能となる。ＣＰＵ１１は第２変更量が第２補正量以上であると判断した場合（ステップＳ４０４でＹＥＳ）、第２変更量をゼロに設定する（ステップＳ４０５）。ＣＰＵ１１はゼロとした第２変更量を記憶部１５に記憶する（ステップＳ４０６）。
【０１３５】
ＣＰＵ１１はステップＳ４０１において、第２閾範囲が前回も大きく補正されたと判断しない場合（ステップＳ４０１でＮＯ）、ステップＳ４１２へ移行する。ＣＰＵ１１は第２閾範囲ファイル１５２の補正内容フィールドの前回及び今回のレコードを参照し、第２閾範囲は前回も小さく補正されたか否かを判断する（ステップＳ４１２）。具体的にはＣＰＵ１１は今回の補正内容フィールドが小さく補正と記憶され、かつ、前回の補正内容フィールドも小さく補正されている場合に、前回も小さく補正されたと判断する。
【０１３６】
ＣＰＵ１１は、第２閾範囲は前回も小さく補正されたと判断した場合（ステップＳ４１２でＹＥＳ）、記憶部１５に記憶した第２補正量を読み出す（ステップＳ４１３）。ＣＰＵ１１は記憶部１５に記憶した第２変更量を読み出す（ステップＳ４１４）。ＣＰＵ１１は、第２変更量が第２補正量以上であるか否かを判断する（ステップＳ４１５）。ＣＰＵ１１は、第２変更量は第２補正量以上でないと判断した場合（ステップＳ４１５でＮＯ）、ステップＳ４１８へ移行する。
【０１３７】
ＣＰＵ１１は第２補正量から第２変更量を減算する（ステップＳ４１８）。ＣＰＵ１１は減算後の第２補正量を記憶部１５に記憶する（ステップＳ４１９）。ＣＰＵ１１は第２変更量を減少させる（ステップＳ４１１０）。ＣＰＵ１１は減少後の第２変更量を記憶部１５に記憶する（ステップＳ４１１１）。これにより連続して第２閾範囲が縮小した場合でも、縮小幅は緩やかとなり、異常検出の精度が低下することを防止することが可能となる。ＣＰＵ１１は第２変更量が第２補正量以上であると判断した場合（ステップＳ４１５でＹＥＳ）、第２変更量をゼロに設定する（ステップＳ４１６）。ＣＰＵ１１はゼロとした第２変更量を記憶部１５に記憶する（ステップＳ４１７）。
【０１３８】
ＣＰＵ１１は、第２閾範囲は前回も小さく補正されたと判断しない場合（ステップＳ４１２でＮＯ）、ステップＳ４１１２へ移行する。ＣＰＵ１１は第２変更量を初期値に戻す（ステップＳ４１１２）。ＣＰＵ１１は初期値に戻した第２変更量を記憶部１５に記憶する（ステップＳ４１１３）。これにより、第１閾範囲及び第２閾範囲が補正により大きく、または小さくなった場合でも、適宜補正量が変更されるため、第１閾範囲及び第２閾範囲の補正に伴う異常検出精度の低下を防止することが可能となる。
【０１３９】
本実施の形態４は以上の如きであり、その他は実施の形態１乃至３と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
【０１４０】
実施の形態５
実施の形態５は適宜第２閾範囲を小さくする形態に関する。実施の形態４に加えて、または実施の形態４とは別に、第２閾範囲を所定時間毎に減少させても良い。図４２は第２閾範囲の調整処理の手順を示すフローチャートである。ＣＰＵ１１は、一定時間（例えば６時間）を経過したか否かを判断する（ステップＳ４２１）。ＣＰＵ１１は一定時間を経過していないと判断した場合（ステップＳ４２１でＮＯ）、一定時間を経過するまで待機する。ＣＰＵ１１は一定時間を経過したと判断した場合（ステップＳ４２１でＹＥＳ）、第２閾範囲ファイル１５２に記憶した第２閾範囲を読み出す（ステップＳ４２２）。ＣＰＵ１１は記憶部１５に記憶した調整値を読み出す（ステップＳ４２３）。ＣＰＵ１１は、調整値が第２閾範囲以上であるか否かを判断する（ステップＳ４２４）。ＣＰＵ１１は、調整値は第２閾範囲以上でないと判断した場合（ステップＳ４２４でＮＯ）、ステップＳ４２７へ移行する。
【０１４１】
ＣＰＵ１１は第２閾範囲から調整値を減算する（ステップＳ４２７）。ＣＰＵ１１は減算後の第２閾範囲を第２閾範囲ファイル１５２に記憶する（ステップＳ４２８）。ＣＰＵ１１は調整値を減少させる（ステップＳ４２９）。ＣＰＵ１１は減少後の調整値を記憶部１５に記憶する（ステップＳ４２１０）。調整値は例えば１０分であり、ステップＳ４２９の処理により減少する。ＣＰＵ１１は記憶部１５に予め記憶した減少幅に基づき減少させればよい。例えば１ずつ減少させるなどである。その他、第２閾範囲の平方根、対数を減少後の調整値としても良い。さらに、入力した値を減少させる数式を予め記憶しておき、ＣＰＵ１１が第２閾範囲または調整値を数式に代入することにより、減少後の調整値を算出しても良い。本実施形態においては説明を容易にするために、調整値の初期値を１０、ステップＳ４２９の処理の度に０まで減少させる例を挙げて説明する。
【０１４２】
ＣＰＵ１１は調整値が第２閾範囲以上であると判断した場合（ステップＳ４２４でＹＥＳ）、調整値をゼロに設定する（ステップＳ４２５）。ＣＰＵ１１はゼロとした調整値を記憶部１５に記憶する（ステップＳ４２６）。これにより、時間の経過と共にセキュリティが低下するおそれを防止することが可能となる。
【０１４３】
本実施の形態５は以上の如きであり、その他は実施の形態１乃至４と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
【０１４４】
実施の形態６
実施の形態６は中央装置（情報処理装置）としてパーソナルコンピュータを用いた形態に関する。図４３は実施の形態６に係る情報処理システムの概要を示す模式図である。実施の形態１乃至５で述べたサーバコンピュータ１はパーソナルコンピュータ１であっても良い。パーソナルコンピュータ１には、入力情報の一例としてアプリ操作命令が、入力部１３を通じて、ユーザにより直接入力される。アプリ操作命令が入力された後の異常検出処理、並びに、第１閾範囲及び第２閾範囲の補正処理等は実施の形態１乃至５で述べたとおりである。これにより、クライアントコンピュータ単体においても異常検出が可能となる。
【０１４５】
図４４は上述した形態のサーバコンピュータ１またはパーソナルコンピュータ１の動作を示す機能ブロック図である。ＣＰＵ１１が制御プログラム１５Ｐを実行することにより、サーバコンピュータ１及びパーソナルコンピュータ１は以下のとおり機能する。第１判断部１０１は、入力情報に基づく値が記憶部１５に記憶した第１閾範囲を越えるか否か判断する。第２判断部１０２は、第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が記憶部１５に記憶した第２閾範囲を越えるか否か判断する。取得部１０３は、危険性の増減情報を取得する。補正部１０４は、取得部１０３により取得した危険性の増減情報に基づき、第１閾範囲または第２閾範囲を補正する。出力部１０５は、第２判断部１０２により第２閾範囲を越えると判断した場合に、異常情報を出力する。
【０１４６】
本実施の形態６は以上の如きであり、その他は実施の形態１乃至５と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
【０１４７】
実施の形態７
図４５は実施の形態７に係るサーバコンピュータ１のハードウェア群を示すブロック図である。サーバコンピュータ１を動作させるためのプログラムは、ディスクドライブ等の読み取り部１０ＡにCD-ROM、DVD（Digital Versatile Disc）ディスクまたはUSB（Universal Serial Bus）メモリ等の可搬型記録媒体１Ａを読み取らせて記憶部１５に記憶しても良い。また当該プログラムを記憶したフラッシュメモリ等の半導体メモリ１Ｂをサーバコンピュータ１内に実装しても良い。さらに、当該プログラムは、インターネット等の通信網Ｎを介して接続される他のサーバコンピュータ（図示せず）からダウンロードすることも可能である。以下に、その内容を説明する。
【０１４８】
図４５に示すサーバコンピュータ１は、上述した各種ソフトウェア処理を実行するプログラムを、可搬型記録媒体１Ａまたは半導体メモリ１Ｂから読み取り、或いは、通信網Ｎを介して他のサーバコンピュータ（図示せず）からダウンロードする。当該プログラムは、制御プログラム１５Ｐとしてインストールされ、ＲＡＭ１２にロードして実行される。これにより、上述したサーバコンピュータ１として機能する。
【０１４９】
本実施の形態７は以上の如きであり、その他は実施の形態１乃至６と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
【０１５０】
以上の実施の形態１乃至７を含む実施形態は、処理に矛盾の無い範囲で適宜複数を組み合わせて実施しても構わない。以上の実施の形態１乃至７を含む実施形態に関し、さらに以下の付記を開示する。
【０１５１】
（付記１）
制御部を有する情報処理装置に入力された入力情報を処理する情報処理方法において、
前記制御部により、危険性の増減情報を取得し、
前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、
前記制御部により入力情報に基づく値が前記第１閾範囲を越えるか否か判断し、
前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、
前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する
情報処理方法。
【０１５２】
（付記２）
第１閾範囲または第２閾範囲を補正する場合、
取得した増減情報により危険性が増加する場合に、前記制御部により前記第１閾範囲または第２閾範囲を小さく補正し、
取得した増減情報により危険性が減少する場合に、前記制御部により前記第１閾範囲または第２閾範囲を大きく補正する
付記１に記載の情報処理方法。
【０１５３】
（付記３）
前記入力情報に基づく値は、
前記情報処理装置に対し入力された命令数または前記情報処理装置に対し入力された命令に基づき処理したデータ量を含み、
第１閾値を越えるか否かを判断する場合、
前記制御部により、命令数またはデータ量が記憶部に記憶した第１閾範囲を越えるか否かを判断する
付記１または２に記載の情報処理方法。
【０１５４】
（付記４）
異常情報の出力回数、及び、異常に対応したことを示す対応情報を記憶部に記憶し、
前記記憶部により異常情報の出力回数が第１閾値を越えるか否か判断し、
第１閾値を越えると判断した場合に、前記制御部により前記記憶部に対応情報が記憶されているか判断し、
前記制御部により、前記対応情報が記憶されていないと判断した場合に、前記第１閾範囲または第２閾範囲を大きく補正し、
前記制御部により、前記対応情報が記憶されていると判断した場合に、前記第１閾範囲または第２閾範囲の値を維持する
付記１乃至３のいずれか一つに記載の情報処理方法。
【０１５５】
（付記５）
前記記憶部により前記第１閾値を越えないと判断した場合に、前記記憶部に記憶した異常情報の出力回数が前記第１閾値より小さい第２閾値を越えるか否か判断し、
第２閾値を越えないと判断した場合に、前記第１閾範囲または第２閾範囲を小さく補正し、
前記制御部により、前記第２閾値を越えると判断した場合に、前記第１閾範囲または第２閾範囲の値を維持する
付記４に記載の情報処理方法。
【０１５６】
（付記６）
前記制御部により第１閾範囲または第２閾範囲を補正した場合に、記憶部に補正の履歴を記憶し、
前記記憶部に記憶した補正の履歴に基づき、第１閾範囲または第２閾範囲が連続して小さくまたは大きく補正されたと判断した場合、前記制御部により第１閾範囲または第２閾範囲の補正量を変更する
付記２乃至５のいずれか一つに記載の情報処理方法。
【０１５７】
（付記７）
前記記憶部に記憶した補正の履歴に基づき、第１閾範囲または第２閾範囲が連続して小さく補正されておらず、かつ、連続して大きく補正されていないと判断した場合、前記制御部により第１閾範囲または第２閾範囲の補正量に対する変更量を初期値へ戻す
付記６に記載の情報処理方法。
【０１５８】
（付記８）
前記制御部により前記第２閾範囲を時間の経過に基づき減少する
付記１乃至７のいずれか一つに記載の情報処理方法。
【０１５９】
（付記９）
記憶部に記憶した入力情報に基づく値を用いて、前記制御部により分散を算出し、
算出した分散に基づいて、前記制御部により第１閾範囲または第２閾範囲の範囲を決定する
付記１乃至８のいずれか一つに記載の情報処理方法。
【０１６０】
（付記１０）
セキュリティポリシーを記憶したテーブル及び算出した分散に基づき、前記制御部により第１閾範囲または第２閾範囲の範囲を決定する
付記９に記載の情報処理方法。
【０１６１】
（付記１１）
制御部を有するコンピュータに入力された入力情報を処理するプログラムにおいて、
コンピュータに、
前記制御部により、危険性の増減情報を取得し、
前記制御部により取得した危険性の増減情報に基づき、記憶部に記憶した第１閾範囲または記憶部に記憶した第２閾範囲を補正し、
前記制御部により入力情報に基づく値が第１閾範囲を越えるか否か判断し、
前記制御部により前記第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が前記第２閾範囲を越えるか否か判断し、
前記制御部により前記第２閾範囲を越えると判断した場合に、異常情報を出力する
処理を実行させるプログラム。
【０１６２】
（付記１２）
入力された入力情報を処理する情報処理装置において、
入力情報に基づく値が記憶部に記憶した第１閾範囲を越えるか否か判断する第１判断部と、
第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が記憶部に記憶した第２閾範囲を越えるか否か判断する第２判断部と、
危険性の増減情報を取得する取得部と、
該取得部により取得した危険性の増減情報に基づき、第１閾範囲または第２閾範囲を補正する補正部と、
前記第２判断部により第２閾範囲を越えると判断した場合に、異常情報を出力する出力部と
を備える情報処理装置。
【０１６３】
（付記１３）
通信網を介して端末装置と中央装置とが接続された情報処理システムにおいて、
前記中央装置は、
前記端末装置から送信された入力情報に基づく値が記憶部に記憶した第１閾範囲を越えるか否か判断する第１判断部と、
第１閾範囲を越えると判断した場合に、越えると判断した回数または越えた時間が記憶部に記憶した第２閾範囲を越えるか否か判断する第２判断部と、
危険性の増減情報を取得する取得部と、
該取得部により取得した危険性の増減情報に基づき、第１閾範囲または第２閾範囲を補正する補正部と、
前記第２判断部により第２閾範囲を越えると判断した場合に、異常情報を出力する出力部と
を備える情報処理システム。
【符号の説明】
【０１６４】
１      サーバコンピュータ、パーソナルコンピュータ
１Ａ    可搬型記録媒体
１Ｂ    半導体メモリ
２、２Ａ〜２Ｃ      パーソナルコンピュータ
２、２Ｄ  指紋認証装置
３      管理コンピュータ
４      セキュリティサーバ
１１    ＣＰＵ
１２    ＲＡＭ
１３    入力部
１４    表示部
１５    記憶部
１５Ａ  アプリケーションプログラム
１５Ｐ  制御プログラム
１６    通信部
１８    時計部
２１    ＣＰＵ
２２    ＲＡＭ
２３    入力部
２４    表示部
２５    記憶部
２５Ｐ  制御プログラム
２６    通信部
３１    ＣＰＵ
３２    ＲＡＭ
３３    入力部
３４    表示部
３５    記憶部
３５Ｐ  制御プログラム
３６    通信部
３８    時計部
１０１  第１判断部
１０２  第２判断部
１０３  取得部
１０４  補正部
１０５  出力部
１５１  第１閾範囲ファイル
１５２  第２閾範囲ファイル
１５３  履歴ＤＢ
１５４  セキュリティポリシーテーブル
１５５  分散テーブル
１５６  範囲テーブル
１５７  異常履歴ＤＢ
２０１  制御部
２０３  指紋入力部
２０４  表示部
２０５  記憶部
２０５Ｐ  制御プログラム
２０６  通信部
２０８  ロック部
３５１  人事ファイル
３５２  環境ファイル
２０５１  指紋データファイル
Ｎ      通信網
【図１】
0005691539.tif 000002
【図２】
0005691539.tif 000003
【図３】
0005691539.tif 000004
【図４】
0005691539.tif 000005
【図５】
0005691539.tif 000006
【図６】
0005691539.tif 000007
【図７】
0005691539.tif 000008
【図８】
0005691539.tif 000009
【図９】
0005691539.tif 000010
【図１０】
0005691539.tif 000011
【図１１】
0005691539.tif 000012
【図１２】
0005691539.tif 000013
【図１３】
0005691539.tif 000014
【図１４】
0005691539.tif 000015
【図１５】
0005691539.tif 000016
【図１６】
0005691539.tif 000017
【図１７】
0005691539.tif 000018
【図１８】
0005691539.tif 000019
【図１９】
0005691539.tif 000020
【図２０】
0005691539.tif 000021
【図２１】
0005691539.tif 000022
【図２２】
0005691539.tif 000023
【図２３】
0005691539.tif 000024
【図２４】
0005691539.tif 000025
【図２５】
0005691539.tif 000026
【図２６】
0005691539.tif 000027
【図２７】
0005691539.tif 000028
【図２８】
0005691539.tif 000029
【図２９】
0005691539.tif 000030
【図３０】
0005691539.tif 000031
【図３１】
0005691539.tif 000032
【図３２】
0005691539.tif 000033
【図３３】
0005691539.tif 000034
【図３４】
0005691539.tif 000035
【図３５】
0005691539.tif 000036
【図３６】
0005691539.tif 000037
【図３７】
0005691539.tif 000038
【図３８】
0005691539.tif 000039
【図３９】
0005691539.tif 000040
【図４０】
0005691539.tif 000041
【図４１】
0005691539.tif 000042
【図４２】
0005691539.tif 000043
【図４３】
0005691539.tif 000044
【図４４】
0005691539.tif 000045
【図４５】
0005691539.tif 000046